Фишинг для ИИ-агентов: найден способ обойти защиту корпоративной инфраструктуры через о...
Фишинг для ИИ-агентов: найден способ обойти защиту корпоративной инфраструктуры через обычный текстовый файл ▫️ Исследователи Forever Security изучили новый метод исполнения вредоносного кода с помощью ИИ-агентов Claude Code и OpenAI Codex, позволяющий проникнуть в корпоративную инфраструктуру. По сути, речь идет о «фишинге для ИИ-агентов». В чём идея атаки ▫️ ИИ-агенты при выполнении задач по умолчанию ищут свои «навыки» и инструкции в специальных файлах в текущей директории. Для OpenAI Codex это AGENTS.md, для Claude Code - CLAUDE.md. Злоумышленникам удалось разместить файлы с такими именами в каталоге «Загрузки». Внутри находились вредоносные промпты, с помощью которых агентов подталкивали установить в Linux вредоносный npm-пакет. Почему обычные средства защиты не помогают ▫️ Главная проблема в том, что антивирус или другое классическое СЗИ не видит здесь угрозы. Это не вредоносный скрипт на языке программирования, а обычный текстовый файл на естественном языке - русском или английском. Средства защиты могут не распознать его как опасный. Вредоносная инструкция может быть скрыта где угодно: в письме белым текстом на белом фоне, в HTML-комментарии, в репозитории с «легитимным» кодом или в запросе от заказчика. И даже не обязательно открывать письмо - достаточно, чтобы агент обратился к почте в ходе работы. Что показали лабораторные тесты ▫️ В одном эксперименте Codex должен был выполнить инструкции по загрузке и запуску тестового приложения - традиционного калькулятора. Во втором Claude Code пытались заставить изменить переменную окружения ANTHROPIC_BASE_URL, чтобы перенаправить запросы к API на сервер злоумышленника и перехватить OAuth-токен. Результаты: ▫️ первый эксперимент - успешен в 90% случаев; ▫️ второй - в 50% случаев. Для защиты от подобных атак в первую очередь следует ограничить права агента и доступные ему каталоги, а выполнение потенциально опасных действий оставить под контролем пользователя. Отдельно нужно проверять файлы с инструкциями и зависимости, которые агент предлагает установить. ▫️ Причём эти ограничения не должны быть прописаны в тех же файлах навыков, типа AGENTS.md или CLAUDE.md. Изоляция файловой системы и сети должна действовать одновременно, иначе остаётся возможность добраться до чувствительных данных. Такие ограничения должны распространяться и на запускаемые дочерние процессы. Подписывайтесь на AI для бизнеса