קובץ זדוני בתיקיית ההורדות מנסה להטעות סוכן קידוד AI להתקין תוכנה זדונית

קובץ AGENTS.md זדוני שהופיע בתיקיית ההורדות של מפתח ניסה לגרום לסוכן קידוד AI להתקין חבילת npm זדונית ידועה. Forever Security מסרה כי עצרה את הניסיון במחשב של לקוח לפני הרצת קוד, והדגימה כיצד דף אינטרנט יכול לשתול הוראות שסוכן יבצע.

קובץ הוראות זדוני נמצא בתיקיית ההורדות

Forever Security מסרה כי קובץ הוראות זדוני בתיקיית ההורדות של מפתח ניסה לגרום לסוכן קידוד AI להתקין חבילת npm זדונית ידועה. החברה תפסה את הניסיון במחשב של לקוח אמיתי ועצרה את הסוכן לפני שהריץ קוד כלשהו. לא הצליחה לקבוע כיצד הקובץ הגיע לתיקייה.

הקובץ היה AGENTS.md, קובץ הוראות בטקסט פשוט שסוכן קידוד כמו Codex של OpenAI קורא כשהוא מתחיל בתיקייה ופועל לפיו. הוא עוצב כהערות הנדסה רגילות. חלק אחד הורה לסוכן להוסיף שרת לקונפיגורציה שלו ולהתקין חבילה בשם function-color מ‑npm. חבילה זו היא חלק ממסע תוכנה זדונית שתועד בנפרד: function-color מושך מוריד בשם function-flag, שמוריד ומפעיל מטען של Windows. חוקרים של CloudSEK ו‑Checkmarx, שניתחו את המסע, קראו לו MALFEX.

למה התיקייה חשובה

Forever אמרה כי שני דברים בלתי מזיקים מאפשרים זאת. סוכן בוטח בציית לקובץ ההוראות שבתיקייה שהוא פותח. דף אינטרנט יכול לשמור קובץ להורדות מעצמו, ללא לחיצה או בקשת הרשאה, ובוחר את השם והתוכן. יחד, דף אינטרנט יכול להשליך קובץ שהסוכן מתייחס אליו כהוראות לתיקייה שהסוכן בוטח בה.

החוקרים לא קבעו שזו הדרך שבה הקובץ נתפס. Forever בנתה דף הוכחת היתכנות: ביקור בו מוריד AGENTS.md בשקט אל הורדות. לא ידוע אם תוקף אמיתי השתמש בנתיב זה נגד הלקוח.

בדיקות על Codex ו‑Claude Code

Forever שחזרה את ההתקפה על שני סוכנים כדי להראות שהיא אינה ייחודית למוצר אחד. מול Codex, קובץ התוקף האמיתי הורה ל‑Codex לרשום שרת ב‑~/.codex/config.toml ולהריץ פקודה שהתקינה את החבילה. מכיוון שקונפיגורציה זו חלה על כל הפעלת Codex במחשב, השינוי יטען את שרת התוקף בכל תיקייה לאחר מכן, לא רק בהורדות. Codex הריץ את התוכנה הזדונית ביותר מ‑90% מהניסיונות.

מול Claude Code, קובץ CLAUDE.md שהושתל ניסה לגרום ל‑Claude לכתוב ANTHROPIC_BASE_URL לקובץ הגדרות פרויקט, המפנה תעבורת API לשרת ש‑Forever שלטה בו. שינוי זה מדליף את אסימון הכניסה של ההפעלה, שהוא השתלטות על חשבון כשלעצמו, ומאפשר לשרת להשיב כאילו היה המודל ולהחזיר פקודות שהסוכן מריץ. Claude דורש אישור לכתיבה כזו ולעתים קרובות מסרב לכזו שנראית שגויה; המסגור כמסמך הנדסי ארוך השיג אישור בכמחצית מהפעמים.

מה לעשות

Forever אמרה כי אין מה לתקן עבור OpenAI או Anthropic, מכיוון שסוכן העוקב אחר קובץ ההוראות שבתיקייתו עושה את מה שנבנה לעשות. החברה השוותה זאת לדפדפן המציג דף דיוג: הדפדפן פעל כמתוכנן, וההתקפה טמונה בדף. "אין כאן מה לתקן עבור OpenAI או Anthropic," אמרה Forever.

Forever המליצה: אל תפעיל את Codex, Claude Code, או כל סוכן ב‑~/Downloads. חפש קבצי הוראות שלא כתבת; קובץ AGENTS.md או CLAUDE.md זר בהורדות או במאגר ששכפלת זה עתה הוא כל ההתקפה. קרא אותו לפני שאתה נותן לסוכן להתקרב אליו. בדוק הגדרות סוכן: ב‑~/.codex/config.toml, שים לב לבלוק שרת או כתובת בסיס ששונתה שלא הוספת; ב‑.claude/settings.json של פרויקט, שים לב ל‑ANTHROPIC_BASE_URL או נקודת קצה API אחרת שלא הגדרת. השאר בקשות אישור וארגזי חול מופעלים, והיזהר מכל דבר שאומר לסוכן לכבות אותם. אם תמצא קובץ שהושתל, הנח שאסימון הכניסה דלף וסובב אותו.

הטלמטריה של Forever מצאה שכמחצית מהלקוחות מריצים סוכן קידוד בהורדות, וכרבע מהפעלות הסוכן פותחות דפדפן. אלו התנאים שההתקפה זקוקה להם.

מקורות: The Hacker News