ჩამოტვირთვების საქაღალდეში მავნე ფაილი ცდილობს AI კოდირების აგენტს მალვერი დააყენებინოს

მავნე AGENTS.md ფაილი, რომელიც დეველოპერის ჩამოტვირთვების საქაღალდეში აღმოჩნდა, ცდილობდა AI კოდირების აგენტის მეშვეობით ცნობილი მავნე npm პაკეტის დაყენებას. Forever Security-მა მცდელობა რეალური მომხმარებლის მანქანაზე კოდის გაშვებამდე შეაჩერა და აჩვენა, როგორ შეუძლია ვებ-გვერდს აგენტისთვის სანდო საქაღალდეში ინსტრუქციების ჩაწერა.

მავნე ინსტრუქციის ფაილი ჩამოტვირთვების საქაღალდეში

Forever Security-ის ცნობით, დეველოპერის ჩამოტვირთვების საქაღალდეში მავნე ინსტრუქციის ფაილი ცდილობდა AI კოდირების აგენტისთვის ცნობილი მავნე npm პაკეტის დაყენებას. კომპანიამ მცდელობა რეალური მომხმარებლის მანქანაზე დააფიქსირა და აგენტი კოდის გაშვებამდე შეაჩერა. როგორ მოხვდა ფაილი საქაღალდეში, ვერ დადგინდა.

ეს იყო AGENTS.md, ტექსტური ინსტრუქციების ფაილი, რომელსაც OpenAI-ს Codex-ის მსგავსი კოდირების აგენტი საქაღალდეში გაშვებისას კითხულობს და მითითებებად იღებს. ის ჩვეულებრივი საინჟინრო ჩანაწერებივით გამოიყურებოდა. ერთი მონაკვეთი აგენტს ავალდებულებდა, საკუთარ კონფიგურაციაში სერვერი დაემატებინა და npm-იდან function-color დაეყენებინა. ეს პაკეტი ცალკე აღწერილი მალვერული კამპანიის ნაწილია: function-color იზიდავს function-flag-ის სახელწოდების ჩამომტვირთავს, რომელიც Windows-ის payload-ს იღებს და უშვებს. CloudSEK-ისა და Checkmarx-ის მკვლევარებმა, რომლებმაც კამპანია გააანალიზეს, მას MALFEX უწოდეს.

რატომ არის მნიშვნელოვანი საქაღალდე

Forever-ის თქმით, ამისთვის ორი უწყინარი რამაა საკმარისი. აგენტი ენდობა და ემორჩილება იმ საქაღალდის ინსტრუქციის ფაილს, რომელსაც ხსნის. ვებ-გვერდს კი შეუძლია დამოუკიდებლად შეინახოს ფაილი ჩამოტვირთვებში, დაწკაპუნებისა და ნებართვის მოთხოვნის გარეშე, თავად აირჩიოს სახელი და შიგთავსი. ამიტომ ვებ-გვერდს შეუძლია აგენტისთვის სანდო საქაღალდეში ჩაწეროს ფაილი, რომელსაც ის ბრძანებად აღიქვამს.

მკვლევარებმა ვერ დაადასტურეს, რომ ფაილი სწორედ ამ გზით მოხვდა. Forever-მა კონცეფციის დამადასტურებელი გვერდი შექმნა: მისი მონახულებისას AGENTS.md ჩუმად ჩამოიტვირთება ჩამოტვირთვებში. უცნობია, გამოიყენა თუ არა რეალურმა თავდამსხმელმა ეს გზა მომხმარებლის წინააღმდეგ.

ტესტები Codex-სა და Claude Code-ზე

Forever-მა შეტევა ორ აგენტზე გაამრავლა, რათა ეჩვენებინა, რომ ის ერთ პროდუქტზე არ არის მიბმული. Codex-ის შემთხვევაში თავდამსხმელის ფაილი Codex-ს ავალდებულებდა, ~/.codex/config.toml-ში სერვერი დაერეგისტრირებინა და ბრძანება გაეშვა, რომელიც პაკეტს დააყენებდა. ეს კონფიგურაცია მანქანაზე Codex-ის ყველა სესიას ეხება, ამიტომ ცვლილება თავდამსხმელის სერვერს შემდგომში ნებისმიერ საქაღალდეში ჩატვირთავდა და არა მხოლოდ ჩამოტვირთვებში. Codex-მა მალვერი მცდელობათა 90%-ზე მეტ შემთხვევაში გაუშვა.

Claude Code-ის შემთხვევაში ჩანერგილი CLAUDE.md ცდილობდა, Claude-ს პროექტის პარამეტრების ფაილში ANTHROPIC_BASE_URL ჩაეწერა და API-ის ტრაფიკი Forever-ის მიერ კონტროლირებად სერვერზე გადაეტანა. ეს ცვლილება ამჟღავნებს სესიის შესვლის ტოკენს, რაც თავისთავად ანგარიშის ხელში ჩაგდებაა, და სერვერს საშუალებას აძლევს, მოდელის სახით უპასუხოს და უკან ის ბრძანებები დააბრუნოს, რომლებსაც აგენტი ასრულებს. ასეთი ჩაწერისთვის Claude-ს დადასტურება სჭირდება და ხშირად უარყოფს იმას, რაც არასწორად გამოიყურება; გრძელი საინჟინრო დოკუმენტის სახით გაფორმებულმა მოთხოვნამ დადასტურება შემთხვევათა დაახლოებით ნახევარში მიიღო.

რა უნდა გავაკეთოთ

Forever-ის თქმით, OpenAI-სა და Anthropic-ს არაფერი აქვთ გამოსასწორებელი, რადგან აგენტი, რომელიც საკუთარ საქაღალდეში არსებულ ინსტრუქციის ფაილს მიჰყვება, იმას აკეთებს, რისთვისაც შეიქმნა. კომპანიამ ეს შეადარა ბრაუზერს, რომელიც ფიშინგის გვერდს აჩვენებს: ბრაუზერი ისე მუშაობს, როგორც უნდა, შეტევა კი გვერდშია. „აქ არაფერია, რაც OpenAI-მ ან Anthropic-მა უნდა გამოასწოროს“, ამბობს Forever.

Forever-მა რეკომენდაცია მისცა: არ გაუშვათ Codex, Claude Code ან ნებისმიერი აგენტი ~/Downloads-ში. მოძებნეთ ინსტრუქციის ფაილები, რომლებიც თქვენ არ დაგიწერიათ; შემთხვევით მოხვედრილი AGENTS.md ან CLAUDE.md ჩამოტვირთვებში ან ახლახან კლონირებულ რეპოზიტორიაში მთელი შეტევაა. წაიკითხეთ ის, სანამ აგენტს მიუშვებთ. შეამოწმეთ აგენტის კონფიგურაცია: ~/.codex/config.toml-ში ეძებეთ სერვერის ბლოკი ან შეცვლილი base URL, რომელიც თქვენ არ დაგიმატებიათ; პროექტის .claude/settings.json-ში კი ANTHROPIC_BASE_URL ან სხვა API endpoint, რომელიც თქვენ არ დაგიყენებიათ. დატოვეთ ჩართული დადასტურების მოთხოვნები და sandbox-ები და ფრთხილად იყავით ყველაფერთან, რაც აგენტს მათ გამორთვას სთხოვს. თუ ჩანერგილ ფაილს იპოვით, ჩათვალეთ, რომ შესვლის ტოკენი გამჟღავნდა, და შეცვალეთ ის.

Forever-ის ტელემეტრიამ აჩვენა, რომ მომხმარებელთა დაახლოებით ნახევარი კოდირების აგენტს ჩამოტვირთვებში უშვებს, ხოლო აგენტის სესიების დაახლოებით მეოთხედი ბრაუზერს ხსნის. სწორედ ეს პირობები სჭირდება შეტევას.

წყაროები: The Hacker News