Файл AGENTS.md у Downloads може змусити AI-агентів виконувати шкідливі інструкції

Дослідники виявили шкідливий файл інструкцій AGENTS.md у папці Downloads на комп’ютері клієнта. Він спонукав AI-агента для програмування встановити підроблений npm-пакет.

Атаку відтворили на OpenAI Codex, а також показали схожий спосіб викрадення OAuth-токенів і захоплення облікового запису Claude Code — лише за допомогою шкідливих інструкцій.

Файли Markdown, як-от AGENTS.md, містять звичайний текст із вказівками для AI-агентів у конкретному проєкті: які інструменти використовувати, як запускати тести та яких правил програмування дотримуватися.

Як агенти виконують шкідливі інструкції

Дослідники компанії Forever Security, яка відстежує ризики, пов’язані з AI-агентами та автономним програмним забезпеченням, помітили цей прийом на комп’ютері клієнта. Агент намагався встановити шкідливий npm-пакет function-color.

Розслідування показало, що спробу встановлення спричинив файл AGENTS.md у папці ~/Downloads клієнта. Вона водночас була робочою директорією агента.

Агенти автоматично завантажують застосовні файли зі своєї робочої директорії та використовують інструкції в них, щоб визначати подальші дії.

Такі файли не є виконуваними програмами. Однак інструкції в них можуть спонукати AI-агента запускати команди, встановлювати пакети або змінювати налаштування за допомогою доступних йому інструментів і дозволів.

«OpenAI чи Anthropic тут нічого не потрібно виправляти. Агент, який виконує вказівки з AGENTS.md у своїй папці, робить саме те, для чого його створили», — пишуть дослідники.

Під час перевірки дослідники підтвердили, що за допомогою такого файла можна змусити OpenAI Codex і Claude Code виконувати код або викрадати облікові дані.

Дослідникам не вдалося з’ясувати, як саме шкідливий файл інструкцій потрапив до ~/Downloads на комп’ютері цілі. Вони пояснили BleepingComputer, що достатньо відвідати шкідливу вебсторінку: вона може завантажити файл без взаємодії з користувачем.

У звіті Forever Security йдеться, що папка ~/Downloads особлива, адже вебсторінка може самостійно записати туди файл AGENTS.md і завантажити його непомітно для користувача.

Щоб показати, як шкідливий файл може потрапити до ~/Downloads без відома користувача, дослідники створили демонстраційний приклад (PoC).

Під час перевірки сторінка PoC завантажила AGENTS.md із нешкідливим вмістом: рядками «sensitive data here» і «line 2».

Багато популярних браузерів, зокрема Chrome, Edge і Firefox, за замовчуванням зберігають завантажені з інтернету файли в ~/Downloads і не запитують, куди зберегти кожен із них.

Під час тестування інших браузерів, зокрема Brave, сайт просив підтвердити завантаження. Це мало б привернути увагу користувача.

Водночас Chrome, Edge і Firefox за замовчуванням показують сповіщення про завантаження файла на пристрій.

Після появи файла в Downloads цілі потрібно запустити AI-агента в цій самій папці, щоб той завантажив файл інструкцій і виконав його вказівки.

Дослідник Forever Security Гал Вайцман розповів BleepingComputer, що це поширена практика: люди часто використовують AI-агентів, щоб упорядкувати цю папку або виконати дії з нещодавно завантаженим файлом.

За внутрішньою статистикою компанії, сотні її клієнтів запускають AI-агентів, серед яких Claude Code, OpenAI Codex і Cursor CLI, з папки ~/Downloads. Лише Claude Code, за словами дослідника, запустили звідти понад 1300 разів.

Тести підтвердили здійсненність атаки

Дослідники перевірили відтворений ланцюжок атаки на Codex із нешкідливим сценарієм, який лише відкривав калькулятор. Успішними виявилися 90% спроб.

В окремому тесті вони використали шкідливий файл CLAUDE.md, щоб перенаправити API-трафік Claude Code на контрольований ними сервер. Так дослідники отримали OAuth-токен агента. Сервер міг видавати себе за модель і надсилати виклики інструментів, які виконували код приблизно у 50% тестів.

За словами дослідників, ризик виникає через поєднання передбаченої поведінки браузерів і AI-агентів, тому відповідальність за запобіжні заходи та захист лягає безпосередньо на користувача.

Не варто використовувати ~/Downloads як робочу директорію AI-агента для програмування: там можуть бути ненадійні файли, які агент сприйме як інструкції.

OpenAI та Anthropic радять запускати своїх AI-агентів у директорії проєкту, над яким ті мають працювати.

Якщо обмежити робочу директорію потрібним проєктом, агент матиме доречний контекст і вужчу область роботи. Це зменшує ризик, що він оброблятиме ненадійні файли з інших місць.

OpenAI та Anthropic рекомендують запускати агента в кореневій папці конкретного проєкту, а не в домашній директорії чи ширшій батьківській папці. Робочу область варто тримати якомога меншою і розширювати доступ лише за потреби.

Робоча директорія визначає типовий контекст проєкту для агента, а залежно від інструмента також допомагає встановити межі доступу до файлової системи.

Перед тим як дозволити AI-агенту виконувати вказівки з незнайомих файлів AGENTS.md, CLAUDE.md та інших подібних документів, їх слід перевірити. Також варто не вимикати запити на підтвердження й захист ізоляції, а потенційно ненадійний код спершу тестувати в ізольованому середовищі, а не на основному пристрої.

Нагадаємо, автономні ШІ-агенти можуть аналізувати запити з урахуванням контексту й змінювати реакції відповідно до перебігу розмови. Про їхню роботу та типи інтелектуальних агентів — у матеріалі The Transmitted.