Claude Code și Codex ascultă de un fișier pe care orice site îl poate lăsa în Descărcări

Un fișier text salvat de un site în folderul Downloads poate acum să-i dea ordine agentului AI de programare de pe computerul tău. Cercetătorii de la Forever Security au găsit pe computerul unui client un fișier AGENTS.md plantat — documentul text cu instrucțiuni pe care îl citesc la pornire instrumente precum Codex de la OpenAI — care îi spunea agentului să instaleze un program malware cunoscut. Dacă ai deschis vreodată Claude Code sau Codex în Downloads ca să faci ordine ori să lucrezi la un fișier abia descărcat, ai acordat acelui folder același nivel de încredere ca unuia dintre propriile proiecte.

Agentul nu a făcut nimic greșit după propriile reguli. AGENTS.md și echivalentul său pentru Claude, CLAUDE.md, există pentru ca un proiect să-i poată spune unui agent ce instrumente să folosească și cum să-și ruleze testele, iar agentul este construit să le urmeze. Cercetătorii atrag atenția că Downloads este singurul folder pe care internetul îl poate umple de unul singur. „OpenAI sau Anthropic nu au nimic de remediat aici”, scriu ei. „Un agent care urmează instrucțiunile din AGENTS.md aflat în folderul său face exact ceea ce a fost construit să facă.”

Fișierul real era un document de 13 KB, intitulat ca un set de reguli de inginerie, cu atacul ascuns aproape de final și formulat pe un ton liniștit, ca o notă de configurare. Îi cerea lui Codex să adauge în configurație un server pentru „instrumentele proiectului” și să instaleze un pachet npm numit function-color, pe care cercetătorii îl descriu drept malware provenit dintr-o campanie nedetectată timp de aproximativ doi ani. Software-ul Forever a blocat instalarea înainte să ruleze vreun cod. În testele echipei, desfășurate în principal cu un înlocuitor inofensiv care doar deschidea calculatorul, Codex a executat ordinele din fișier în peste 90% dintre încercări; pachetul real a rulat și el o dată într-o mașină virtuală izolată. Modificarea ajunge în fișierul de setări al Codex, valabil la nivelul întregului sistem, astfel că toate sesiunile Codex ulterioare încarcă serverul atacatorului, indiferent de folder.

Lecturi recomandateCounter-Strike 2 | Un upgrade gratuit la CS:GO

Claude Code a fost mai greu de păcălit. Echipa și-a creat propriul fișier CLAUDE.md, care îl convinge pe Claude să-și direcționeze traficul API către un server controlat de atacator, prezentat drept o poartă de acces a companiei. Acea singură setare îi predă tokenul de autentificare Claude, pe care cercetătorii l-au reutilizat împotriva API-ului real Anthropic pentru a acționa în numele victimei; în plus, serverul fals poate răspunde ca și cum ar fi modelul și poate trimite comenzi cu sandboxul dezactivat. Claude îi cere unui om să aprobe o modificare de setări de acest fel și adesea refuză, însă scrierea a reușit totuși în aproximativ jumătate dintre cazuri.

Este mai ușor decât ai crede să ajungi cu fișierul pe un computer. În mod implicit, Chrome, Edge și Firefox salvează descărcările în acel folder, fără să întrebe unde, iar o pagină poate alege numele și conținutul fișierului. BleepingComputer, publicația care a relatat despre descoperiri, a accesat pagina demonstrativă a cercetătorilor și a văzut cum aceasta salva un fișier AGENTS.md inofensiv. Brave a cerut mai întâi permisiunea. Gal Weizman, cercetător la Forever, a declarat publicației că sute de clienți ai companiei rulează Claude Code, Codex sau agentul în linie de comandă al Cursor din Downloads și că numai Claude Code a fost pornit acolo în peste 1.300 de sesiuni.

Cercetarea lasă câteva întrebări fără răspuns. Forever nu a putut stabili cum a ajuns fișierul malițios pe computerul clientului, iar atacul presupune în continuare ca cineva să pornească ulterior un agent în acel folder. Chrome, Edge și Firefox afișează într-adevăr o notificare de descărcare, pe care un utilizator atent o poate observa. Payloadul real a fost scris pentru macOS. Forever vinde și software de monitorizare a agenților AI, deci compania are un interes comercial în riscul pe care îl descrie, iar raportul nu include niciun răspuns din partea OpenAI sau Anthropic. Instrumentele în cauză se vând în întreaga lume, așa că riscul este același pe toate piețele unde le folosesc dezvoltatorii.

Apărarea ține în mare parte de obiceiuri. Nu porni niciodată un agent de programare din Downloads; rulează-l din folderul proiectului la care trebuie să lucreze, așa cum recomandă deja OpenAI și Anthropic. Citește orice fișier AGENTS.md sau CLAUDE.md pe care nu l-ai scris tu înainte ca agentul să-l poată accesa și păstrează activate solicitările de aprobare și sandboxurile. În fișierul de setări al Codex, caută o intrare de server pe care nu ai adăugat-o. În setările Claude ale unui proiect, caută o adresă API pe care nu ai configurat-o. Dacă găsești una, consideră tokenul de autentificare furat și revocă-l; consideră compromis și orice computer pe care a fost instalat function-color, pachet retras între timp de pe npm.

Forever și-a publicat raportul pe 22 octombrie, iar articolul BleepingComputer a apărut pe 25 octombrie. Cercetătorii spun că orice agent care citește un fișier cu instrucțiuni și își poate rescrie propria configurație poate fi direcționat în același fel, ceea ce îi face pe Codex și Claude Code primele două nume de pe o listă mai lungă. O descărcare din browser era inofensivă până când cineva o deschidea. Acum, fișierul se deschide singur în clipa în care un agent începe să citească folderul.

Etichete: știri, OpenAI, Anthropic, securitate cibernetică, agenti AI, Claude Code

Conținut similar

Hellraiser: Revival transformă cutia care îl cheamă pe Pinhead într-o armă

r/opensource de pe Reddit interzice proiectele AI și îi trimite pe vorbitorii altor limbi în altă parte

Torchlight: Infinite lansează sezonul 12 la trei luni după recordul său istoric de jucători

Google obligă aplicațiile Android să folosească mai puțin RAM — IA a luat restul

iPhone Ultra renunță la Face ID, se pliază la 7,8 inchi și pornește de la 2.000 de dolari

PS Plus Extra în octombrie: vin Mafia și Horizon, pleacă Silent Hill 2 și Yakuza