← Все новости

Безопасность ·

AI-агентов для кода перехватывают через вредоносный AGENTS.md в папке «Загрузки»AI coding agents hijacked via a malicious AGENTS.md in the Downloads folder

Если запустить Codex из ~/Downloads, подброшенный туда AGENTS.md заставлял агента установить вредоносный npm-пакет — в 90% попыток. Похожий трюк с CLAUDE.md перенаправлял трафик Claude Code. Патчить нечего: дело в том, откуда запускается агент.Running Codex from ~/Downloads let a planted AGENTS.md make the agent install a malicious npm package — in 90% of attempts. A similar CLAUDE.md trick redirected Claude Code's traffic. There is nothing to patch: it is about where the agent is launched.

Forever Security описала атаку, впервые найденную на компьютере реального клиента. Кодинг-агенты автоматически читают файлы инструкций (AGENTS.md, CLAUDE.md) из рабочей директории — и атакующие этим воспользовались.

Как это работает

  • Вредоносный AGENTS.md попадает в ~/Downloads (например, вместе со скачанным архивом).
  • Пользователь запускает Codex прямо из папки «Загрузки» — и агент, следуя «инструкциям проекта», устанавливает npm-пакет function-color.
  • В воспроизведении исследователей атака сработала в 90% случаев.
  • Аналогичный приём с CLAUDE.md перенаправлял API-трафик Claude Code и раскрывал OAuth-токен, что примерно в половине тестов приводило к выполнению кода.

Почему патча нет

Агенты делают ровно то, для чего созданы: читают инструкции из текущей директории. Проблема — в запуске агента там, где лежат недоверенные файлы.

Что делать

  • Запускать агентов только из директории проекта, никогда — из ~/Downloads или домашней папки.
  • Проверять AGENTS.md/CLAUDE.md в чужих репозиториях так же внимательно, как скрипты сборки.
  • Не давать агенту права на установку пакетов без подтверждения и по возможности запускать его в изолированном окружении.

Forever Security described an attack first found on a real customer’s machine. Coding agents automatically read instruction files (AGENTS.md, CLAUDE.md) from the working directory — and attackers took advantage.

How it works

  • A malicious AGENTS.md lands in ~/Downloads (for example, alongside a downloaded archive).
  • The user launches Codex straight from Downloads — and the agent, following the “project instructions”, installs the npm package function-color.
  • In the researchers’ reproduction it worked 90% of the time.
  • A similar CLAUDE.md trick redirected Claude Code’s API traffic and exposed its OAuth token, leading to code execution in about half the tests.

Why there is no patch

The agents do exactly what they are built to do: read instructions from the current directory. The problem is launching an agent where untrusted files live.

What to do

  • Run agents only from the project directory, never from ~/Downloads or your home folder.
  • Review AGENTS.md/CLAUDE.md in third-party repos as carefully as build scripts.
  • Do not let the agent install packages without approval, and run it in an isolated environment where possible.

Источники