В папке «Загрузки» нашли файл для атаки на ИИ-агентов программиста
Вредоносный AGENTS.md пытался заставить ИИ-агента установить npm-пакет, связанный с вредоносной кампанией MALFEX. Как именно файл оказался на компьютере клиента, исследователи не установили.
Специалисты Forever Security сообщили о попытке атаки на реальном компьютере клиента через файл AGENTS.md в папке «Загрузки». Этот текстовый файл содержит инструкции, которые агенты для программирования могут читать при запуске в каталоге. Forever Security остановила агента до выполнения кода.
Файл был замаскирован под обычные инженерные заметки. В одной из инструкций агенту предлагалось добавить сервер в собственную конфигурацию и установить из npm пакет function-color. По данным исследователей CloudSEK и Checkmarx, этот пакет связан с кампанией MALFEX: он загружает компонент function-flag, который скачивает и запускает полезную нагрузку для Windows.
Forever Security не смогла выяснить, каким способом AGENTS.md попал в папку клиента. Однако компания проверила возможный сценарий: после открытия специально подготовленной веб-страницы файл мог сохраниться в «Загрузки» без дополнительного клика или запроса разрешения. Исследователи подчёркивают, что не установили связь между этим механизмом и зафиксированным инцидентом.
В изолированной виртуальной машине Forever Security воспроизвела атаку на Codex с исходным вредоносным файлом. Инструкция предлагала зарегистрировать сервер в ~/.codex/config.toml и выполнить команду установки пакета. Эта конфигурация действует для всех сессий Codex на компьютере: после изменения сервер атакующего мог бы подключаться и при запуске агента в других каталогах. По оценке компании, Codex выполнил вредоносные инструкции более чем в 90% попыток.
Отдельный вариант атаки проверили на Claude Code. Файл CLAUDE.md пытался добавить в настройки проекта переменную ANTHROPIC_BASE_URL, направляющую API-трафик на сервер исследователей. Это могло раскрыть токен текущей сессии, а также позволить серверу выдавать ответы от имени модели и передавать агенту команды. Для записи такого параметра Claude Code запрашивает подтверждение пользователя; в эксперименте длинное оформление под инженерную документацию привело к одобрению примерно в половине случаев.
По мнению Forever Security, речь не идёт об ошибке, которую OpenAI или Anthropic могли бы исправить одним обновлением: агенты следуют инструкциям из файлов в открытых каталогах так, как и задумано. Компания советует не запускать Codex, Claude Code и подобные инструменты в ~/Downloads, проверять незнакомые AGENTS.md и CLAUDE.md перед запуском агента, не отключать песочницы и запросы подтверждения, а также следить за неожиданными изменениями в конфигурации.
Если подозрительный файл уже был обработан агентом, исследователи рекомендуют считать токен сессии потенциально скомпрометированным и заменить его. По телеметрии Forever Security, около половины её клиентов запускают ИИ-агентов в папке «Загрузки», а примерно четверть сессий агентов открывает браузер — сочетание этих условий создаёт почву для описанной атаки.