Un fișier de instrucțiuni ascuns în folderul Downloads a încercat să determine un agent AI de programare să instaleze malware, într-un incident identificat pe dispozitivul unui client real și oprit înainte de executarea codului. Firma de securitate Forever Security nu a putut stabili cum a ajuns fișierul acolo, dar testele sale arată cât de ușor poate deveni un document aparent banal o comandă pentru un agent autonom.
Fișierul AGENTS.md conținea note prezentate drept instrucțiuni obișnuite de inginerie. Printre ele se afla solicitarea de a adăuga un server în configurația agentului și de a instala pachetul function-color din registrul npm.
Un fișier de instrucțiuni care se comportă ca o comandă
AGENTS.md este un fișier text simplu pe care agenți precum Codex îl pot citi când pornesc într-un folder, urmând instrucțiunile găsite acolo. În acest caz, solicitările erau formulate ca pași de configurare a proiectului, nu ca o încercare evidentă de compromitere, ceea ce le putea face mai ușor de trecut cu vederea.
Pachetul function-color este legat de o campanie malware documentată separat de cercetătorii CloudSEK și Checkmarx, care au numit-o MALFEX. Acesta atrage un al doilea pachet, function-flag, care descarcă și execută o încărcătură malițioasă pentru Windows; astfel, o instrucțiune aparent tehnică poate porni un lanț de infectare.
Sursă foto: thehackernews.com
Forever Security descrie atacul drept întâlnirea a două comportamente care, luate separat, sunt normale. Agentul are încredere în fișierul de instrucțiuni din folderul în care este pornit, iar o pagină web poate salva un fișier în Downloads fără clic sau solicitare de permisiune, alegându-i numele și conținutul.
Cercetătorii nu au demonstrat că pagina web a fost calea prin care fișierul a ajuns pe dispozitivul clientului. Pentru a verifica dacă scenariul este posibil, au construit o pagină demonstrativă care descarcă în tăcere un AGENTS.md în folderul Downloads; folosirea acestei metode de către un atacator real în incident rămâne necunoscută.
Codex putea extinde efectul dincolo de folderul Downloads
Forever a reprodus atacul pe două produse, pentru a arăta că problema nu ține de un singur agent. Într-o mașină virtuală izolată, fișierul malițios prezentat ca instrucțiune de configurare a determinat Codex să înregistreze un server în ~/.codex/config.toml și să execute o comandă de instalare a pachetului.
Riscul configurației depășea folderul inițial: fișierul ~/.codex/config.toml se aplică tuturor sesiunilor Codex de pe acel sistem. Prin urmare, serverul adăugat putea fi încărcat ulterior indiferent de folderul din care era pornit agentul; potrivit Forever Security, Codex a executat malware-ul în peste 90% dintre încercări.
Testul cu Claude Code a avut o formă diferită și a reușit mai rar. Un fișier CLAUDE.md plantat în folder, prezentat drept documentație pentru configurarea unui gateway intern, încerca să determine agentul să scrie o valoare ANTHROPIC_BASE_URL într-un fișier de setări al proiectului.
Valoarea indica traficul API către un server controlat de Forever Security. Potrivit cercetătorilor, schimbarea poate expune tokenul de autentificare al sesiunii, suficient pentru preluarea contului, iar serverul poate răspunde ca și cum ar fi modelul și îi poate furniza agentului comenzi de executat.
Claude Code cere aprobarea unei persoane pentru o astfel de modificare și refuză adesea solicitările care par suspecte. Totuși, cercetătorii spun că prezentarea cererii drept documentație tehnică amplă a dus la aprobarea scrierii în aproximativ jumătate dintre încercări.
Riscul pentru echipele din România și UE începe cu folderul de lucru
Pentru companiile și instituțiile din România și din Uniunea Europeană, incidentul arată că agenții AI adaugă o suprafață de atac nouă la gestionarea codului și a credențialelor. Un agent pornit pe un laptop de serviciu poate avea acces la configurații locale și la tokenuri active, iar o instrucțiune malițioasă poate transforma aceste privilegii într-un canal de instalare sau de interceptare.
Riscul este relevant pentru dezvoltatori, furnizori de servicii IT și echipe care folosesc agenți în proiecte interne, inclusiv în medii cu date sensibile. Organizațiile ar trebui să interzică pornirea agenților din Downloads, să verifice fișierele AGENTS.md și CLAUDE.md înainte de utilizare și să limiteze accesul agenților la secrete și la configurații globale.
Forever Security afirmă că, în propria telemetrie, aproximativ jumătate dintre clienți rulează un agent de programare din folderul Downloads, iar circa un sfert dintre sesiunile agenților deschid un browser. Aceste două practici creează condițiile descrise: agentul pornește dintr-un loc în care webul poate salva fișiere, iar navigarea poate avea loc fără supravegherea directă a utilizatorului.
Firma consideră că nu este vorba despre o vulnerabilitate care cere un patch din partea OpenAI sau Anthropic: agentul urmează instrucțiunile din folderul în care a fost pornit, așa cum a fost proiectat. Comparația propusă de Forever este cu un browser care afișează o pagină de phishing: mecanismul funcționează normal, însă conținutul este ostil.
Verificările care pot opri atacul înainte de execuție
Recomandarea imediată este să nu porniți Codex, Claude Code sau alți agenți din ~/Downloads, folder în care paginile web pot salva fișiere fără o acțiune explicită a utilizatorului. Înainte de a lăsa un agent să lucreze într-un depozit clonat sau într-un director necunoscut, citiți orice AGENTS.md ori CLAUDE.md pe care nu l-ați creat și nu îl recunoașteți.
Verificați și configurațiile agentului: în ~/.codex/config.toml căutați blocuri de server sau modificări ale endpointului pe care nu le-ați făcut, iar în .claude/settings.json urmăriți o valoare ANTHROPIC_BASE_URL neașteptată. Păstrați active solicitările de aprobare și sandbox-urile, și tratați cu suspiciune orice instrucțiune care cere dezactivarea lor.
Dacă găsiți un fișier plantat, Forever recomandă să presupuneți că tokenul de autentificare ar fi putut fi expus și să îl rotiți. Un token furat poate oferi acces la o sesiune activă, nu doar la o cerere izolată; pentru organizații, verificarea configurațiilor și a activității contului trebuie să însoțească eliminarea fișierului suspect.
