Злонамерна датотека во папката „Downloads“ се обидува да измами AI агент за програмирање да инсталира малициозен софтвер

Злонамерна датотека со инструкции, сместена во папката „Downloads“ на програмер, се обидела да го натера неговиот AI агент за програмирање да инсталира познат злонамерен npm пакет, соопшти безбедносната компанија Forever Security во извештај објавен минатата недела.

Компанијата го откри обидот на компјутер на вистински клиент и го запрела AI агентот пред да се изврши каков било код. Не успеала да утврди како датотеката завршила во папката.

Датотеката се викала AGENTS.md — обична текстуална датотека со инструкции што AI агентите за програмирање, како OpenAI Codex, ја читаат кога започнуваат со работа во некоја папка и чии насоки ги следат.

Датотеката била претставена како обични технички белешки за развој на софтвер. Во еден дел му наложувала на агентот да додаде сервер во сопствената конфигурација и да инсталира пакет наречен function-color од npm.

Овој пакет е дел од кампања со малициозен софтвер што други истражувачи ја документирале одделно. Пакетот function-color повлекува дополнителен преземач наречен function-flag, кој презема и извршува Windows-полезен товар (payload). Истражувачите од CloudSEK и Checkmarx, кои ја анализирале кампањата, ѝ го дале името MALFEX.

Две работи, од кои секоја сама по себе е безопасна, овозможуваат ваков напад, соопшти Forever Security. Прво, AI агентот е дизајниран да ѝ верува на датотеката со инструкции во папката што ја отвора и да ги следи нејзините насоки. Второ, веб-страница може самостојно да зачува датотека во папката „Downloads“, без корисникот да кликне или да добие барање за дозвола, притоа избирајќи го името и содржината на датотеката.

Кога овие две можности ќе се искомбинираат, веб-страница може да постави датотека со инструкции во папка на која AI агентот ѝ верува, а агентот потоа може да ги третира тие инструкции како наредби што треба да ги изврши.

Истражувачите не утврдиле дека токму на овој начин била поставена датотеката откриена кај клиентот. За да проверат дали е можен целиот нападен синџир, тие создале сопствена страница за докажување на концептот (proof of concept). Доволно е корисникот да ја посети страницата за датотеката AGENTS.md тивко да се преземе во папката „Downloads“.

Не е познато дали вистински напаѓач го искористил овој метод против клиентот.

Потоа, компанијата го репродуцирала нападот врз два AI агенти за програмирање, за да покаже дека проблемот не е ограничен на еден конкретен производ.

При тестирањето со Codex, истражувачите ја извршиле вистинската датотека на напаѓачот во изолирана виртуелна машина. Датотеката, претставена како дел од вообичаената поставка на проектот, му наложувала на Codex да регистрира сервер во датотеката ~/.codex/config.toml и да изврши команда со која се инсталира злонамерниот пакет.

Бидејќи конфигурациската датотека важи за секоја сесија на Codex на компјутерот, оваа промена би предизвикала серверот на напаѓачот да се вчитува во која било папка што ќе се отвори подоцна, а не само во папката „Downloads“. Според Forever Security, Codex го извршил малициозниот софтвер во повеќе од 90% од обидите.

Кај Claude Code, функционалниот напад изгледал поинаку и бил помалку успешен. Поставена датотека CLAUDE.md, претставена како интерна конфигурација на гејтвејот, се обидувала да го натера Claude да запише вредност ANTHROPIC_BASE_URL во датотека со поставки на проектот. Таа вредност го насочувала API-сообраќајот кон сервер контролиран од Forever Security.

Само оваа промена овозможува протекување на токенот за најавување на сесијата, што само по себе може да доведе до преземање контрола врз корисничката сметка. Дополнително, серверот може да одговара како да е самиот AI модел и да испраќа команди што агентот потоа ги извршува.

Claude бара човек да одобри таква промена во датотека и често ја одбива ако изгледа сомнително. Сепак, истражувачите соопштија дека претставувањето на инструкциите како обемна техничка документација за развој успеало да го добие потребното одобрување во приближно половина од случаите.

Според Forever Security, OpenAI и Anthropic немаат што да поправат преку безбедносна закрпа, бидејќи агентот што ги следи инструкциите во датотеката во папката што ја отвора го прави она за што е дизајниран. Компанијата го споредила ова со веб-прелистувач што прикажува фишинг-страница: прелистувачот функционира според својата намена, а нападот е во самата веб-страница.

„Овде нема ништо што OpenAI или Anthropic треба да го поправат“, соопшти Forever Security.

Што треба да направите

Forever Security дава практични совети за заштита за кои не е потребен никаков дополнителен софтвер:

– Не стартувајте Codex, Claude Code или кој било друг AI агент во папката ~/Downloads. Тоа е папката во која веб-страниците можат самостојно да запишуваат датотеки.

– Проверувајте дали има датотеки со инструкции што не сте ги создале вие. Неочекувана датотека AGENTS.md или CLAUDE.md, без разлика дали се наоѓа во папката „Downloads“ или во штотуку клонирано складиште на код (repository), може да биде основата на целиот напад. Прочитајте ја пред да му дозволите на AI агентот да работи со неа.

– Проверете ги конфигурациските датотеки на AI агентот. Во ~/.codex/config.toml, проверете дали има блок за сервер или променета основна URL-адреса (base URL) што не сте ги додале вие. Во датотеката .claude/settings.json на проектот, проверете дали има ANTHROPIC_BASE_URL или друга API-адреса што не сте ја поставиле вие.

– Оставете ги активни барањата за одобрување и изолираните средини (sandboxes). Бидете особено внимателни ако некоја инструкција му наложува на агентот да ги исклучи овие заштитни механизми.

– Ако откриете подметната датотека, претпоставете дека токенот за најавување можеби протекол и заменете го со нов. Украден токен може да овозможи пристап до активна сесија, а не само до едно пресретнато барање.

Според телеметриските податоци на самата компанија Forever Security, приближно половина од нејзините клиенти користат AI агент за програмирање во папката „Downloads“, а приближно една четвртина од сесиите на агентите вклучуваат отворање веб-прелистувач.

Тоа се условите што му се потребни на нападот: AI агентот се стартува во папка во која веб-страниците можат да запишуваат датотеки, а во многу случаи самиот агент врши и пребарување на интернет. Така, датотеката може да пристигне без корисникот воопшто да забележи дека е преземена.

Извори:

• The Hacker News – Malicious File in Downloads Folder Tries to Trick AI Coding Agent Into Installing Malware The Hacker News