🚨 Хакери можуть отримати контроль над Codex і Claude Code за допомогою шкідливих файлів у папці «Завантаження».
Звичайний текстовий файл у папці «Завантаження» може змусити ШІ-агентів змінити власні налаштування, встановити шкідливе ПЗ або розкрити токени авторизації користувача.

Усе почалося з того, що система захисту Forever Security заблокувала спробу ШІ-агента встановити npm-пакет function-color, який поширював шкідливе ПЗ.
Під час розслідування фахівці з’ясували, що команда на встановлення надійшла з файлу AGENTS.md, який знаходився в папці ~/Downloads на комп’ютері клієнта.
«Це не звичайне шкідливе ПЗ, — пишуть дослідники компанії Гал Вайцман та Омер Самет. — AGENTS.md — це файл, якому агент за своєю природою має довіряти та чиї інструкції повинен виконувати. А ~/Downloads
— єдина папка, у яку вебсайт може помістити файл без жодного кліку мишкою та без дозволу користувача. Разом ці особливості дають змогу вебсайту непомітно підкидати команди, які потім виконує ваш власний агент. Markdown стає новим виконуваним кодом».

Дослідники вирішили відтворити атаку на OpenAI Codex і Claude Code від Anthropic.
Codex виконував шкідливі інструкції більш ніж у 90% випробувань.
Claude Code піддавався атаці приблизно у 50% випадків.

На думку дослідників, «OpenAI та Anthropic тут нічого виправляти». Агент, який виконує інструкції з файлу в робочій директорії, діє саме так, як його й задумано. Це схоже на браузер, який відображає фішингову сторінку: технічно він просто виконує свою функцію.

Дослідники рекомендують не запускати ШІ-агентів для розробки в папці «Завантаження» та уважно перевіряти будь-які файли AGENTS.md або CLAUDE.md, які ви не створювали самостійно, перш ніж надавати агенту доступ до відповідної директорії.

Це стосується й репозиторіїв, які розробник щойно скопіював на свій комп’ютер.
Якщо ви коли-небудь запускали Codex або Claude Code з папки «Завантаження», варто перевірити конфігураційні файли на наявність невідомих серверів і посилань.

Звіт Forever Security