Хакеры могут получить контроль над Codex и Claude Code с помощью вредоносных файлов в п...
Хакеры могут получить контроль над Codex и Claude Code с помощью вредоносных файлов в папке "Загрузки". Обычный текстовый файл может заставить ИИ-агента изменить собственные настройки, установить вредоносное ПО или раскрыть токены авторизации — ключи доступа к аккаунтам пользователя. В разборе Forever Security описано, как такие команды попали к агенту через папку ~/Downloads. Расследование началось с того, что защита Forever Security заблокировала попытку агента установить function-color — npm-пакет, то есть пакет кода для JavaScript, распространяющий вредоносное ПО. Команду на установку нашли в AGENTS.md в папке «Загрузки» на компьютере клиента. Это файл с инструкциями, которые агент читает при работе с директорией. Исследователи компании Гал Вайцман и Омер Самет объясняют: агент устроен так, чтобы доверять AGENTS.md и выполнять его инструкции. При этом, по их словам, ~/Downloads — единственная папка, куда сайт может поместить файл без единого щелчка мышью и без разрешения пользователя. Так сайт незаметно подбрасывает команды, а выполняет их уже собственный агент пользователя. «Markdown становится новым исполняемым кодом», — пишут исследователи. Markdown здесь — текстовый формат разметки, в котором записаны инструкции. Авторы воспроизвели атаку на OpenAI Codex и Claude Code от Anthropic. По результатам их испытаний, Codex выполнял вредоносные инструкции более чем в 90% случаев, Claude Code — примерно в 50%. По мнению Вайцмана и Самета, «OpenAI и Anthropic здесь нечего исправлять»: читая инструкции из файла в рабочей директории, агент делает именно то, для чего создан. Они сравнивают это с браузером, который показывает фишинговую страницу — подделку для кражи данных — и технически тоже выполняет свою функцию. Исследователи рекомендуют не запускать агентов для разработки из «Загрузок». Прежде чем давать агенту доступ к папке, нужно изучить находящиеся в ней AGENTS.md и CLAUDE.md — файлы инструкций, которые вы не создавали сами. Это относится и к репозиториям — проектам с кодом, только что скопированным на компьютер. Если Codex или Claude уже запускались из «Загрузок», авторы советуют проверить конфиг-файлы — файлы настроек — на неизвестные серверы и ссылки. Полезные ссылки: — AGENTS.md: http://AGENTS.md/ — CLAUDE.md: http://CLAUDE.md/ Материалы: — https://forever.security/blog/hijacking-ai-agents-via-downloads-folder/ Источник: https://t.me/vibecoding_tg/4187 #RealVibe #AI #VibeCoding