ملف ضار في مجلد التنزيلات يحاول خداع وكيل ترميز الذكاء الاصطناعي لتثبيت برامج ضارة

ملف AGENTS.md ضار ظهر في مجلد تنزيلات مطور وحاول جعل وكيل ترميز ذكاء اصطناعي يثبت حزمة npm ضارة معروفة. وقالت Forever Security إنها أوقفت المحاولة على جهاز عميل قبل تشغيل أي كود، وأظهرت كيف يمكن لصفحة ويب زرع تعليمات يطيعها الوكيل.

عثور على ملف تعليمات ضار في مجلد التنزيلات

قالت شركة Forever Security إن ملف تعليمات ضار في مجلد تنزيلات مطور حاول جعل وكيل ترميز ذكاء اصطناعي يثبت حزمة npm ضارة معروفة. أمسكت الشركة المحاولة على جهاز عميل حقيقي وأوقفت الوكيل قبل تشغيل أي كود. لم تتمكن من تحديد كيف وصل الملف إلى المجلد.

كان الملف هو AGENTS.md، وهو ملف تعليمات بنص عادي يقرأه وكيل ترميز مثل Codex من OpenAI عند بدء التشغيل في مجلد ويتبعه كتعليمات. تم تنسيقه ليبدو كملاحظات هندسية عادية. طلب أحد الأقسام من الوكيل إضافة خادم إلى تكوينه الخاص وتثبيت حزمة تسمى function-color من npm. هذه الحزمة جزء من حملة برامج ضارة موثقة بشكل منفصل: function-color تستدعي أداة تحميل تسمى function-flag، التي تجلب وتشغل حمولة Windows. أطلق الباحثون في CloudSEK و Checkmarx، الذين حللوا الحملة، عليها اسم MALFEX.

لماذا يهم المجلد

قالت Forever إن أمرين غير ضارين يجعلان هذا يعمل. يثق الوكيل ويطيع ملف التعليمات في المجلد الذي يفتحه. يمكن لصفحة ويب حفظ ملف في التنزيلات من تلقاء نفسها، دون نقرة أو مطالبة بإذن، مع اختيار الاسم والمحتوى. معًا، يمكن لصفحة ويب إسقاط ملف يعامله الوكيل كأوامر في مجلد يثق به الوكيل.

لم يثبت الباحثون أن هذه هي الطريقة التي تم بها اكتشاف الملف. بنت Forever صفحة إثبات مفهوم: عند زيارتها، يتم تنزيل AGENTS.md بصمت في مجلد التنزيلات. ما إذا كان مهاجم حقيقي استخدم هذا المسار ضد العميل غير معروف.

اختبارات على Codex و Claude Code

أعادت Forever إنتاج الهجوم على وكيلين لإظهار أنه ليس خاصًا بمنتج واحد. ضد Codex، أمر ملف المهاجم الحقيقي Codex بتسجيل خادم في ~/.codex/config.toml وتشغيل أمر يثبت الحزمة. لأن هذا التكوين ينطبق على كل جلسة Codex على الجهاز، فإن التغيير سيحمّل خادم المهاجم في أي مجلد لاحقًا، وليس فقط التنزيلات. شغّل Codex البرامج الضارة في أكثر من 90% من المحاولات.

ضد Claude Code، حاول ملف CLAUDE.md مزروع جعل Claude يكتب ANTHROPIC_BASE_URL في ملف إعدادات مشروع، مشيرًا حركة API إلى خادم تسيطر عليه Forever. يسرب هذا التغيير رمز تسجيل الدخول للجلسة، وهو استيلاء على الحساب بحد ذاته، ويسمح للخادم بالرد كما لو كان النموذج وإعادة أوامر ينفذها الوكيل. يحتاج Claude موافقة لمثل هذه الكتابة وغالبًا يرفض التي تبدو خاطئة؛ حصل الإطار الطويل للوثيقة الهندسية على موافقة حوالي نصف الوقت.

ماذا تفعل

قالت Forever إنه لا يوجد شيء لـ OpenAI أو Anthropic لتصحيحه لأن وكيلًا يتبع ملف التعليمات في مجلده يفعل ما صُمم للقيام به. قارنت الشركة ذلك بمتصفح يعرض صفحة تصيد: المتصفح عمل كما صُمم، والهجوم يكمن في الصفحة. "لا يوجد شيء هنا لـ OpenAI أو Anthropic لتصحيحه"، قالت Forever.

نصحت Forever: لا تبدأ Codex أو Claude Code أو أي وكيل في ~/Downloads. ابحث عن ملفات تعليمات لم تكتبها؛ ملف AGENTS.md أو CLAUDE.md طائش في التنزيلات أو مستودع استنسخته للتو هو الهجوم بأكمله. اقرأه قبل السماح لوكيل بالاقتراب منه. تحقق من تكوين الوكيل: في ~/.codex/config.toml، راقب كتلة خادم أو عنوان URL أساسي تم تغييره لم تضفه؛ في .claude/settings.json للمشروع، راقب ANTHROPIC_BASE_URL أو نقطة نهاية API أخرى لم تحددها. اترك مطالبات الموافقة والصناديق الرملية مفعلة، وكن حذرًا من أي شيء يطلب من الوكيل إيقافها. إذا وجدت ملفًا مزروعًا، افترض أن رمز تسجيل الدخول تسرب وقم بتدويره.

وجدت بيانات القياس عن بعد من Forever أن حوالي نصف العملاء يشغلون وكيل ترميز في التنزيلات، وأن ربع جلسات الوكيل تفتح متصفحًا تقريبًا. هذه هي الشروط التي يحتاجها الهجوم.

المصادر: The Hacker News