Badania Forever Security ujawniły nową metodę ataku na agentów AI, takich jak OpenAI Codex czy Anthropic Claude Code. Atak polega na umieszczeniu w folderze Pobrane specjalnie przygotowanego pliku tekstowego (np. AGENTS.md lub CLAUDE.md), który zawiera instrukcje dla agenta. Ponieważ przeglądarki mogą zapisywać pliki w tym folderze bez dodatkowej zgody użytkownika, napastnik może w ten sposób „zasiać” polecenia, które agent wykona automatycznie po uruchomieniu w tym katalogu.
W przypadku OpenAI Codex, badacze odnotowali sukces ataku w ponad 90% przypadków. Agent zmieniał ustawienia systemowe, co pozwalało na instalację złośliwych pakietów npm, takich jak wykryty wcześniej function-color. Z kolei w przypadku Claude Code, atakujący próbowali przejąć tokeny logowania użytkownika poprzez zmianę adresu serwera, do którego agent wysyła zapytania. Pozwala to na przejęcie sesji i pełną kontrolę nad kontem.
Problem nie wynika z błędu w oprogramowaniu, lecz z samej natury działania agentów, które mają ufać plikom konfiguracyjnym w bieżącym katalogu. Eksperci ostrzegają, że agenci mogą stać się zarówno celem, jak i narzędziem ataku, jeśli sami będą przeglądać zainfekowane strony internetowe.
Aby się chronić, użytkownicy nie powinni uruchamiać agentów AI w folderze Pobrane. Należy również dokładnie sprawdzać treść plików AGENTS.md lub CLAUDE.md w nowych repozytoriach oraz monitorować pliki konfiguracyjne pod kątem nieznanych adresów URL. W przypadku wykrycia podejrzanych plików, należy założyć, że tokeny sesji zostały skradzione i niezwłocznie je unieważnić.
