Un fișier Markdown malițios din folderul Downloads a determinat un agent de programare bazat pe inteligență artificială să încerce instalarea unui pachet npm suspect, iar cercetătorii au arătat că instrucțiuni similare pot ajunge să expună acreditări și să permită executarea de cod. Demonstrațiile Forever Security au vizat OpenAI Codex și Claude Code și arată cât de mult contează directorul din care este lansat agentul.
Un fișier de instrucțiuni, nu un program malițios
Cercetătorii Forever Security, companie care urmărește riscurile introduse de agenți AI și software autonom, au descoperit incidentul pe calculatorul unui client. Agentul încerca să instaleze pachetul npm „function-color”, iar analiza a dus la un fișier AGENTS.md din directorul ~/Downloads, care era și directorul de lucru al agentului.
Sursă foto: AIFișiere precum AGENTS.md sunt documente text simple, folosite pentru a le transmite agenților instrucțiuni specifice proiectului: ce instrumente să folosească, cum să ruleze testele sau ce convenții de cod să respecte. Agenții pot încărca automat fișierele aplicabile din directorul lor de lucru; dacă acestea conțin comenzi malițioase, agentul le poate pune în practică prin instrumentele și permisiunile pe care le are.
Echipa nu a putut stabili cum a ajuns fișierul malițios în folderul clientului. Totuși, cercetătorii au avertizat că o pagină web ar putea iniția descărcarea unui fișier numit AGENTS.md fără o acțiune suplimentară a utilizatorului, iar demonstrația lor de concept a arătat că fișierul poate fi depus în Downloads fără ca descărcarea să fie evidentă imediat.
Descărcarea este doar primul pas al atacului
În verificarea făcută de BleepingComputer, pagina de demonstrație a descărcat un fișier AGENTS.md cu conținut inofensiv: textele „sensitive data here” și „line 2”. Testul a confirmat mecanismul de livrare, nu compromiterea unui calculator; pentru ca instrucțiunile să fie interpretate, victima trebuie apoi să pornească agentul AI din același director.
Chrome, Edge și Firefox salvează implicit multe descărcări în ~/Downloads, fără să ceară utilizatorului să aleagă de fiecare dată destinația. Aceste browsere afișează notificări după descărcare, însă vizibilitatea lor nu garantează că fișierul va fi observat; în testele BleepingComputer, Brave a cerut aprobarea descărcării, un indiciu suplimentar pentru utilizator.
Pasul final poate părea unul obișnuit: lansarea unui agent pentru a organiza Downloads sau pentru a lucra cu un fișier abia descărcat. Gal Weizman, cercetător la Forever Security, a declarat publicației că practica este frecventă; statisticile interne ale companiei arată că sute de clienți pornesc agenți din acel director, iar Claude Code a fost lansat de acolo în peste 1.300 de sesiuni.
Testele au reprodus două căi de compromitere
Pentru Codex, cercetătorii au reconstruit lanțul de atac folosind un payload inofensiv, care doar deschidea aplicația Calculator. Testul a reușit în 90% dintre încercări, un rezultat care demonstrează că instrucțiunile din director pot influența comportamentul agentului, dar nu trebuie confundat cu o rată de compromitere observată în atacuri reale.
Într-un test separat, o instrucțiune malițioasă dintr-un fișier CLAUDE.md a redirecționat traficul API al Claude Code către un server controlat de cercetători. Astfel, aceștia au obținut tokenul OAuth al agentului, cu care serverul putea să se dea drept model și să trimită apeluri către instrumente, inclusiv apeluri care executau cod.
Această a doua tehnică a dus la executarea de cod în aproximativ 50% dintre teste. Distincția este importantă: demonstrația nu spune că orice fișier Markdown fură automat tokenuri, ci că instrucțiunile urmate de agent pot schimba destinația traficului și pot expune acreditări atunci când instrumentul și configurația permit acest lucru.
De ce nu există un patch simplu pentru producătorii de agenți
Forever Security susține că nu este vorba despre o vulnerabilitate pe care OpenAI sau Anthropic ar putea să o repare printr-un patch obișnuit: agentul care respectă fișierul AGENTS.md din directorul său urmează comportamentul pentru care a fost construit. Riscul apare din combinația dintre descărcările web, încărcarea automată a instrucțiunilor și accesul agentului la instrumente sau date.
OpenAI și Anthropic recomandă pornirea agentului în directorul rădăcină al proiectului vizat, nu în directorul personal al utilizatorului sau într-un director-părinte prea larg. Directorul de lucru stabilește contextul implicit al agentului și, în funcție de instrument, contribuie la delimitarea accesului său la sistemul de fișiere.
Pentru organizațiile din România și UE, demonstrația este un motiv să trateze agenții AI ca pe niște instrumente cu acces operațional, nu ca pe simple interfețe de chat. Echipele de securitate ar trebui să stabilească directoare de lucru aprobate, să limiteze accesul la fișiere și secrete și să verifice dacă fluxurile de dezvoltare permit agenților să urmeze instrucțiuni descărcate din surse neverificate.
Măsurile practice încep cu evitarea folderului Downloads ca spațiu de lucru și cu verificarea manuală a fișierelor AGENTS.md, CLAUDE.md sau similare înainte de a lansa un agent. Utilizatorii și administratorii ar trebui să păstreze active solicitările de aprobare și protecțiile sandbox, iar codul sau pachetele necunoscute să fie testate într-un mediu izolat, nu direct pe sistemul principal.
