Ներբեռնումների պանակի չարամիտ ֆայլը փորձում է AI կոդավորման գործակալին ստիպել տեղադրել չարամիտ ծրագիր

Ծրագրավորողի Ներբեռնումների պանակում հայտնված չարամիտ AGENTS.md ֆայլը փորձել է AI կոդավորման գործակալին ստիպել տեղադրել հայտնի չարամիտ npm փաթեթ։ Forever Security-ն հայտնել է, որ կանգնեցրել է փորձը հաճախորդի մեքենայում՝ մինչև կոդի գործարկվելը, և ցույց է տվել, թե ինչպես վեբ էջը կարող է տեղադրել հրահանգներ, որոնց գործակալը կենթարկվի։

Ներբեռնումներում չարամիտ հրահանգների ֆայլ

Forever Security-ն ասում է, որ ծրագրավորողի Ներբեռնումների պանակում չարամիտ հրահանգների ֆայլը փորձել է AI կոդավորման գործակալին ստիպել տեղադրել հայտնի չարամիտ npm փաթեթ։ Ընկերությունը կանգնեցրել է փորձը իրական հաճախորդի մեքենայում՝ մինչև կոդի գործարկվելը։ Ինչպես է ֆայլը հայտնվել պանակում, չի պարզվել։

Ֆայլը AGENTS.md էր՝ պարզ տեքստային հրահանգներ, որոնք OpenAI-ի Codex-ի նման գործակալը կարդում և կատարում է պանակում սկսելիս։ Այն ներկայացված էր որպես սովորական ինժեներական նշումներ։ Մի հատված ասում էր սերվեր ավելացնել գործակալի կոնֆիգուրացիայում և npm-ից տեղադրել function-color։ Այդ փաթեթը առանձին փաստաթղթավորված չարամիտ արշավի մաս է։ function-color-ը ներգրավում է function-flag ներբեռնիչ, որը բերում և գործարկում է Windows payload։ CloudSEK-ը և Checkmarx-ը, որ վերլուծել են արշավը, անվանել են այն MALFEX։

Ինչու է պանակը կարևոր

Forever-ն ասում է, որ սա աշխատում է երկու անվնաս բանի շնորհիվ։ Գործակալը վստահում և ենթարկվում է բացած պանակի հրահանգների ֆայլին։ Վեբ էջը կարող է առանց սեղմման կամ թույլտվության ֆայլ պահել Ներբեռնումներում՝ ինքն ընտրելով անունն ու բովանդակությունը։ Միասին՝ վեբ էջը կարող է գործակալի համար հրաման համարվող ֆայլ դնել վստահելի պանակ։

Հետազոտողները չեն հաստատել, որ ֆայլը հենց այսպես է որսացվել։ Forever-ը ստեղծել է proof-of-concept էջ. այցելելիս AGENTS.md-ը լուռ ներբեռնվում է Ներբեռնումներ։ Հայտնի չէ՝ իրական հարձակվողն օգտագործել է այդ ուղին։

Փորձարկումներ Codex-ի և Claude Code-ի վրա

Forever-ը վերարտադրել է հարձակումը երկու գործակալների վրա՝ ցույց տալու, որ այն մեկ ապրանքի հետ կապված չէ։ Codex-ի դեմ իրական ֆայլը Codex-ին ասում էր սերվեր գրանցել ~/.codex/config.toml-ում և գործարկել փաթեթը տեղադրող հրաման։ Այդ կոնֆիգը կիրառվում է մեքենայի բոլոր Codex սեսիաներին, ուստի փոփոխությունը հետագայում կբեռներ հարձակվողի սերվերը ցանկացած պանակում, ոչ միայն Ներբեռնումներում։ Codex-ը չարամիտ ծրագիրը գործարկել է փորձերի ավելի քան 90%-ում։

Claude Code-ի դեմ տնկված CLAUDE.md-ը փորձում էր Claude-ին ստիպել ANTHROPIC_BASE_URL գրել նախագծի կարգավորումներում՝ API երթևեկությունը ուղղելով Forever-ի սերվեր։ Դա արտահոսում է սեսիայի մուտքի թոքենը, ինչն ինքնին հաշվի գրավում է, և թույլ է տալիս սերվերին պատասխանել որպես մոդել ու վերադարձնել գործակալի գործարկած հրամանները։ Claude-ը նման գրառման համար հաստատում է պահանջում և հաճախ մերժում սխալ թվացողը. երկար ինժեներական փաստաթղթի ձևը հաստատում էր ստացել մոտ կես դեպքում։

Ինչ անել

Forever-ն ասում է, որ OpenAI-ի կամ Anthropic-ի համար շտկելու բան չկա, որովհետև գործակալը, հետևելով իր պանակի հրահանգների ֆայլին, անում է այն, ինչի համար ստեղծվել է։ Ընկերությունը համեմատում է դա ֆիշինգ էջը ցուցադրող բրաուզերի հետ. բրաուզերն աշխատել է ըստ նախատեսվածի, իսկ հարձակումը էջում է։ «Այստեղ OpenAI-ի կամ Anthropic-ի համար շտկելու ոչինչ չկա», ասում է Forever-ը։

Forever-ը խորհուրդ է տալիս չգործարկել Codex, Claude Code կամ այլ գործակալ ~/Downloads-ում։ Փնտրեք ձեր չգրած հրահանգների ֆայլեր. Ներբեռնումներում կամ նոր կլոնում պատահական AGENTS.md կամ CLAUDE.md-ը հենց ամբողջ հարձակումն է։ Կարդացեք այն նախքան գործակալին մոտենալը։ ~/.codex/config.toml-ում ստուգեք ձեր չավելացրած սերվերի բլոկը կամ փոխված base URL-ը. .claude/settings.json-ում՝ ձեր չսահմանած ANTHROPIC_BASE_URL-ը կամ այլ API endpoint։ Թողեք հաստատումներն ու sandbox-ները միացված և զգուշացեք անջատելու հրահանգներից։ Տնկված ֆայլ գտնելիս ենթադրեք մուտքի թոքենի արտահոսք և փոխեք այն։

Forever-ի հեռաչափությունը պարզել է, որ հաճախորդների մոտ կեսը գործակալ է գործարկում Ներբեռնումներում, իսկ սեսիաների մոտ քառորդը բացում է բրաուզեր։ Դրանք հարձակման անհրաժեշտ պայմաններն են։

Աղբյուրներ: The Hacker News