Egy egyszerű szöveges fájllal is el lehet téríteni az AI-programozóügynököket, ha azokat a Letöltések mappából indítják. A Forever Security kutatói, Gal Weizman és Omer Samet október 22-i jelentésükben egy valódi ügyfél gépén találtak egy kártékony AGENTS.md fájlt a ~/Downloads mappában, amely arra utasította a kódolóügynököt, hogy telepítsen egy ismert kártékony npm-csomagot (function-color). A kutatók szerint „a Markdown az új futtatható fájl”.

A trükk azon alapul, hogy az OpenAI Codex, a Claude Code és a hasonló ügynökök automatikusan beolvassák és követik a munkakönyvtárukban talált utasításfájlokat (AGENTS.md, CLAUDE.md). Ezek nem programok, így az operációs rendszer védelmei nem akadályozzák meg őket, az ügynök viszont a saját jogosultságaival parancsokat futtat, csomagokat telepít vagy beállításokat ír át, ha a fájl így kéri. A Letöltések mappa pedig különleges: ez az egyetlen hely, ahová egy weboldal magától, kattintás nélkül is menthet fájlt. A Chrome, az Edge és a Firefox alapból oda tölt le, és a kutatók egy ártalmatlan AGENTS.md-vel be is mutatták, hogy egy weboldal így bejuttathatja a fájlt.

Elszigetelt virtuális gépen a valódi kártékony utasításokkal a Codex az esetek több mint 90 százalékában lefuttatta a támadó kódját. A fájl egy új MCP-szervert írt a gép egészére érvényes ~/.codex/config.toml beállításba, így a hatás minden későbbi munkamenetre és projektre kiterjedt. A Claude Code-nál egy CLAUDE.md a modell API-forgalmát egy támadó szerverre irányította volna át, ami kiszivárogtathatja az OAuth-tokent, és ezzel a fiók átvételét teszi lehetővé. Ez a beállítás-módosítás nagyjából az esetek felében sikerült. A BleepingComputer szerint a Forever adatai alapján több száz ügyfelük indít AI-ügynököt a Letöltések mappából, csak a Claude Code több mint 1300 munkamenetet.

A kutatók szerint ez nem javítható hiba: „Itt nincs mit foltoznia az OpenAI-nak vagy az Anthropicnak”, mert az ügynökök pontosan azt teszik, amire tervezték őket. A gond abból adódik, hogy az ügynökök megbíznak a munkamappájukban, a web pedig írhat a Letöltések mappába. Ez ugyanaz a jelenség, mint a Skynet-ügynöknél: a támadók már nem a modellt törik fel, hanem a környezetét használják ki. A Forever tanácsai:

  • AI-ügynököt soha ne indítsunk a Letöltések mappából, csak a konkrét projekt mappájából.
  • Az ismeretlen AGENTS.md vagy CLAUDE.md fájlokat nézzük át, mielőtt az ügynök beolvassa őket.
  • Ellenőrizzük, nincs-e ismeretlen MCP-szerver vagy átírt cím a ~/.codex/config.toml és a .claude/settings.json fájlban.
  • Hagyjuk bekapcsolva a jóváhagyásokat és a sandboxot. Ha gyanús a gép, cseréljük le a hozzáférési kulcsokat, és nézzük meg, nincs-e telepítve a function-color csomag.