Файл в «Загрузках» может управлять вашим ИИ-агентом
Файл в «Загрузках» может управлять вашим ИИ-агентом Обычный текстовый файл, лежащий в папке «Загрузки», способен заставить Codex или Claude Code поменять собственные настройки, поставить вредоносное ПО или слить токены авторизации. Звучит как сюжет для параноидального триллера, но это результаты реального исследования. Все началось с того, что защита Forever Security заблокировала попытку ИИ-агента установить npm-пакет function-color, который распространяет вредоносное ПО. При разборе выяснилось: команду на установку агент взял из файла AGENTS.md в папке ~/Downloads на компьютере клиента. «Это не обычное вредоносное ПО, — объясняют исследователи Гал Вайцман и Омер Самет. — AGENTS.md — файл, которому агент по своей природе должен доверять и чьи инструкции обязан выполнять. А ~/Downloads — единственная папка, куда сайт может положить файл без единого клика и без разрешения пользователя. Вместе это позволяет веб-сайту незаметно подбросить команды, которые потом выполнит ваш собственный агент. Markdown становится новым исполняемым кодом». Исследователи воспроизвели атаку на OpenAI Codex и Claude Code от Anthropic: • Codex выполнял вредоносные инструкции более чем в 90% испытаний. • Claude Code поддавался примерно в 50% случаев. При этом, по мнению специалистов, «OpenAI и Anthropic здесь нечего исправлять». Агент, который выполняет инструкции из файла в рабочей директории, работает ровно так, как задумано. Примерно как браузер, открывающий фишинговую страницу, технически делает свою работу. Что советуют: • не запускать ИИ-агентов для разработки в папке «Загрузки»; • внимательно изучать любые AGENTS.md или CLAUDE.md, которые вы не создавали сами, прежде чем давать агенту доступ к директории; • то же самое касается репозиториев, которые вы только что склонировали на компьютер. Если вы когда-нибудь запускали Codex или Claude из «Загрузок», стоит заглянуть в конфиг-файлы и поискать там незнакомые серверы и ссылки. Подробности — в блоге Forever Security.