Claude Code i Codex słuchają pliku, który każda strona może podrzucić do folderu Pobrane

Plik tekstowy zapisany przez stronę internetową w folderze Pobrane może teraz wydawać polecenia agentowi AI do programowania na twoim komputerze. Badacze z Forever Security znaleźli na komputerze klienta spreparowany plik AGENTS.md — zwykły plik tekstowy z instrukcjami, które narzędzia takie jak Codex od OpenAI odczytują przy uruchomieniu. Zawierał polecenie zainstalowania znanego szkodliwego oprogramowania. Jeśli zdarzyło ci się uruchomić Claude Code lub Codex w folderze Pobrane, żeby zrobić w nim porządek albo popracować nad właśnie pobranym plikiem, obdarzyłeś ten folder takim samym zaufaniem jak jeden z własnych projektów.

Agent nie złamał żadnej ze swoich zasad. AGENTS.md oraz jego odpowiednik w Claude Code, CLAUDE.md, służą do przekazywania agentowi informacji o tym, jakich narzędzi ma używać i jak uruchamiać testy. Agent został zaprojektowany tak, by stosować się do tych instrukcji. Badacze zwracają uwagę, że Pobrane to jedyny folder, który sieć może zapełnić bez niczyjej pomocy. „OpenAI ani Anthropic nie mają tu niczego do załatania” — piszą. „Agent, który wykonuje instrukcje z pliku AGENTS.md w swoim folderze, robi dokładnie to, do czego został stworzony”.

Oryginalny plik był 13-kilobajtowym dokumentem zatytułowanym „Wytyczne inżynieryjne”. Atak ukryto pod koniec, ujmując go w spokojnym tonie notatki konfiguracyjnej. Plik polecał Codexowi dodanie do konfiguracji serwera „narzędzi projektowych” oraz zainstalowanie pakietu npm o nazwie function-color. Badacze określają go jako szkodliwe oprogramowanie pochodzące z kampanii, która przez około dwa lata pozostawała niezauważona. Oprogramowanie Forever zablokowało instalację, zanim uruchomił się jakikolwiek kod. W testach zespołu — prowadzonych głównie z nieszkodliwym zamiennikiem, który jedynie otwierał kalkulator — Codex wykonał polecenia zapisane w pliku w ponad 90 procentach prób. Prawdziwy pakiet uruchomił się także raz w odizolowanej maszynie wirtualnej. Zmiana trafia do pliku ustawień Codex obowiązującego na całym komputerze, więc każda kolejna sesja Codex wczytuje serwer atakującego, niezależnie od używanego folderu.

Claude Code trudniej było oszukać. Zespół przygotował własny plik CLAUDE.md, który nakłania Claude’a do kierowania ruchu API na serwer kontrolowany przez atakującego, podszywający się pod firmową bramę sieciową. To jedno ustawienie przekazuje token logowania do Claude’a. Badacze ponownie wykorzystali go w prawdziwym API Anthropic, by działać w imieniu ofiary. Pozwala ono też fałszywemu serwerowi odpowiadać tak, jakby był modelem, i odsyłać polecenia przy wyłączonej piaskownicy. Claude prosi człowieka o zatwierdzenie takiej zmiany ustawień i często odmawia jej wprowadzenia, ale mimo to zapis zmian udawało się wymusić mniej więcej w połowie przypadków.

Umieszczenie pliku na komputerze jest prostsze, niż mogłoby się wydawać. Chrome, Edge i Firefox domyślnie zapisują pobrane pliki w tym folderze, nie pytając o lokalizację, a strona może wybrać nazwę i zawartość pliku. BleepingComputer, który opisał wyniki badania, odwiedził stronę badaczy z demonstracją ataku i zaobserwował, jak zapisuje ona nieszkodliwy plik AGENTS.md. Brave najpierw poprosił o zgodę. Gal Weizman z Forever powiedział redakcji, że setki klientów firmy uruchamiają z folderu Pobrane Claude Code, Codex lub agenta wiersza poleceń Cursor. Sam Claude Code rozpoczął tam ponad 1300 sesji.

Badanie pozostawia kilka niewyjaśnionych kwestii. Forever nie udało się ustalić, w jaki sposób złośliwy plik trafił na komputer klienta, a do przeprowadzenia ataku nadal potrzebne jest późniejsze uruchomienie agenta w tym folderze. Chrome, Edge i Firefox wyświetlają powiadomienie o pobraniu, które uważny użytkownik może zauważyć. Prawdziwy ładunek przygotowano dla systemu macOS. Forever sprzedaje również oprogramowanie do monitorowania agentów AI, więc firma ma komercyjny interes w opisywanym zagrożeniu. W raporcie nie ma też odpowiedzi OpenAI ani Anthropic. Omawiane narzędzia są sprzedawane na całym świecie, dlatego zagrożenie jest takie samo na każdym rynku, na którym korzystają z nich programiści.

Najważniejsza jest zmiana codziennych nawyków. Nigdy nie uruchamiaj agenta kodującego w folderze Pobrane — korzystaj z folderu projektu, nad którym ma pracować. To właśnie zalecają już OpenAI i Anthropic. Zanim agent zobaczy plik AGENTS.md lub CLAUDE.md, którego sam nie utworzyłeś, przeczytaj jego treść, a prośby o zatwierdzenie i piaskownice pozostaw włączone. W pliku ustawień Codex sprawdź, czy nie ma wpisu serwera, którego sam nie dodałeś. W ustawieniach Claude’a dla projektu poszukaj adresu API, którego nie skonfigurowałeś. Jeśli taki wpis się pojawi, uznaj token logowania za skradziony i go unieważnij. Każdy komputer, na którym zainstalowano function-color — pakiet usunięty już przez npm — traktuj jako przejęty.

Forever opublikowało raport 22 października, a BleepingComputer opisał sprawę 25 października. Badacze twierdzą, że w ten sam sposób można nakłonić każdego agenta, który odczytuje plik z instrukcjami i potrafi zmieniać własną konfigurację. Codex i Claude Code to dopiero dwa pierwsze przykłady na dłuższej liście. Pobranie pliku przez przeglądarkę było nieszkodliwe, dopóki ktoś go nie otworzył. Teraz plik sam zaczyna działać, gdy tylko agent zaczyna przeglądać zawartość folderu.

Tagi: OpenAI, cyberbezpieczeństwo, Anthropic, agenci AI, Claude Code, Forever Security