Един AGENTS.md превзе Codex в 90% от тестовете – заключи своя

Накратко

Forever Security откри манипулиран AGENTS.md в Downloads на разработчик. The Hacker News пише за това на 26 октомври, след доклад, публикуван седмица по-рано.
В тест с реалния файл на атакуващия Codex стартира злонамерения софтуер в над 90% от опитите.
Парите за теб: поправката е 20 минути по чеклист и струва €0. Изтеклият токен за вход струва много повече.

Дадехте на кодиращия си агент ключовете. Провери ли кой друг може да му пише указания? Кодиращите агенти четат обикновен текстов файл в папката, в която се отварят, и го приемат за заповед. Нападателите се сетиха.

Какво се случи

Forever Security уловиха злонамерен файл AGENTS.md на машината на реален клиент. Статът в Downloads, маскиран като обикновени инженерни бележки. Вътре казвал на агента да добави сървър в собствената си конфигурация и да инсталира npm пакет function-color. Пакетът е свързан с кампанията MALFEX. Агентът е спрян, преди да се изпълни код. Как файлът е стигнал там, никой не знае.

Две неща правят това възможно. Първо, агентите следват файла с указания в папката, в която стартират. AGENTS.md при Codex, CLAUDE.md при Claude Code. Второ, уеб страница може да сложи файл в Downloads без клик и без заявка за разрешение. Forever направиха демо страница, която точно това прави. Дали реален нападател е ползвал този начин, не се знае.

Резултатите са най-страшната част. С реалния файл на атакуващия в изолирана виртуална машина Codex стартира злонамерения софтуер в над 90% от опитите. Файлът регистрира сървър в конфига на Codex, който важи за всяка сесия на машината.

Claude Code се срави по-добре, но с условие. Подхвърлен CLAUDE.md се опитал да кара Claude да запише ANTHROPIC_BASE_URL във файл с настройки на проекта. Това ще пренасочи API трафика към сървър на нападателя и ще изтече токенът за вход. Claude обикновено иска одобрение и често отказва. Но дълъг и скучен инженерен текст е карал записа да бъде одобрен около половината от пътите.

Числата за риска: около половината от клиентите на Forever работят с кодиращ агент вътре в Downloads, а около една четвърт от сесиите на агенти отварят браузър. Отговорът на доставчиците? Forever казват, че няма какво да поправят OpenAI или Anthropic, защото агентът прави точно каквото е проектиран да прави. Същата логика като при браузър, който показва фишинг страница.

Колко струва поправката

Инструмент: няма. Това е навик. Цена: €0.

Време: около 20 минути еднократно на машина.
Умения: можеш да отвориш текстов файл и терминал.
Какво ти трябва: агентът, който вече ползваш.

Сметката: да речем, че плащаш на фрилансър €60 на час за 2-часова проверка на една машина. Това е €120, а за екип от четирма – €480. Това са мои примерни числа, не оферта. Чеклистът по-долу направи основното за €0.

Стъпка по стъпка: заключи агента си

Махни агента от Downloads. Направи една папка за проектите си, например ~/work, и стартирай агента само там. Никога в Downloads, на Desktop или в папка, която не си създаден сам.
Намери забудени файлове с указания. Пусни find ~/Downloads -name "AGENTS.md" -o -name "CLAUDE.md". Всичко, което не помниш да си писал, отива в кошчето.
Прочети всеки файл с указания, който не си писал ти. Дори в току-що клониран репо. Отнема 30 секунди. Червени флагове: добави сървър, инсталирай пакет, смени base URL, изключи одобренията.
Провери конфига на Codex. Отвори ~/.codex/config.toml и потърси блокове със сървъри, които не познаваш.
Провери настройките на Claude Code. Отвори .claude/settings.json в проектите си и потърси ANTHROPIC_BASE_URL или адрес, който не си задавал.
Държи одобренията и песъчника включени. Бъди подозрителен към всеки файл, който иска да ги изключиш.
Намерил си нещо? Смени токена. Изтрий файла, махни непознатите записи и смятай, че токенът за вход е изтекъл. Излез и влез наново.

Къде това засяга малкия бизнес

Фрилансърът, който сваля бриф от клиент и отваря агента в същата папка. Учредителят, който клонира произволно репо в GitHub, за да го опита. Служителя, комуто си дал Codex, а той работи от Downloads. Всеки, който пуска агент на лаптоп, на който са и ключовете на магазина, и API входовете.

Ако имаш екип, изпрати им този чеклист днес. Това е по-голям риск от повечето промптове, за които се тревожат.

Ограничения и слаби места

Чеклистът намалява риска, но не го маха. Добре написан файл може да изглежда невинен на уморен човек.
Одобренията помагат, но тестът с Claude Code показва, че могат да се обиколят около в половината от случаите с правилната рамка.
Forever не могат да кажат как файлът е стигнал до Downloads и дали нападатели вече ползват трика с браузъра.
Няма патч, който да го поправи. Поведението е по дизайн, затова навикът е защитата.

Алтернативи

Питане при сваляне: настрой браузъра да пита къде да запази всеки файл, за да не каквито да пада тихо в Downloads.
Отделна среда: пускай агентите в контейнер или на резервен компютър, без личните ти входове. Това е обща добра практика, не извод от доклада.
Работен потребителски акаунт: един акаунт за агенти, друг за всичко останало.

Мнението на Иван

Това е най-полезният вид AI новина: скучна, практична и безплатна за прилагане. Всички се стремят да дадат на агентите повече достъп, а почти никой не проверява какво четат. Бих пуснал командата за търсене днес, бих погледнал конфиг файловете и бих махнал всеки агент от Downloads. Двадесет минути сега са по-добре от смяна на всеки ключ, който имаш, по-късно.

Източник: The Hacker News

За автора

Ivan Ivanov

Основател на