Файл в Downloads пытался заставить ИИ-агентов установить вредоносный пакет
Forever Security обнаружила на компьютере клиента файл AGENTS.md в папке Downloads, который пытался заставить ИИ-агента установить вредоносный npm-пакет function-color. Компания остановила агента до выполнения кода. В экспериментах с OpenAI Codex тот выполнял инструкции из реального файла злоумышленников более чем в 90% попыток.
Инструкции маскировались под рабочие заметки
AGENTS.md — обычный текстовый файл с указаниями, который кодовый агент может читать при запуске в каталоге. Обнаруженный образец был оформлен как инженерные заметки. В нём агенту предлагали добавить сервер в собственную конфигурацию и установить function-color из npm.
Этот пакет исследователи CloudSEK и Checkmarx связывали с кампанией MALFEX. После установки function-color подтягивает загрузчик function-flag, который скачивает и запускает полезную нагрузку для Windows.
Forever Security не установила, как именно файл оказался в Downloads клиента. Однако специалисты подтвердили возможность такого пути отдельным демонстрационным сайтом: после его посещения в Downloads без клика и запроса разрешения сохранялся AGENTS.md с заданным именем и содержимым.
Риск выходит за пределы одной папки
В проверке против Codex файл предлагал зарегистрировать сервер в ~/.codex/config.toml и выполнить команду установки пакета. Эта конфигурация действует для всех сессий Codex на устройстве. Поэтому добавленный сервер мог бы загружаться и при дальнейшей работе агента в других каталогах, а не только в Downloads.
Для Claude Code исследователи использовали другой сценарий. Файл CLAUDE.md, замаскированный под настройку внутреннего шлюза, пытался записать переменную ANTHROPIC_BASE_URL в настройки проекта и направить API-трафик на сервер Forever Security. Такая подмена раскрывает токен входа текущей сессии и позволяет серверу отвечать агенту от имени модели, передавая ему команды.
Claude Code запрашивает одобрение на подобную запись и нередко отказывается от подозрительных действий. Но длинное техническое описание помогало получить одобрение примерно в половине попыток. По оценке Forever Security, в этом случае нет отдельной ошибки, которую могли бы исправить OpenAI или Anthropic: агенты следуют инструкциям файлов в открытой папке так, как и задумано.
Что проверить командам разработки
Forever Security советует не запускать Codex, Claude Code и другие агенты в ~/Downloads. Это каталог, куда веб-страница может сохранить файл самостоятельно. Перед запуском агента стоит проверить незнакомые AGENTS.md и CLAUDE.md как в Downloads, так и в только что клонированных репозиториях.
Также необходимо контролировать блоки серверов и неожиданные базовые URL в ~/.codex/config.toml, а в .claude/settings.json — переменную ANTHROPIC_BASE_URL и другие несанкционированные конечные точки API. Запросы подтверждения и песочницы не следует отключать. Если обнаружен подложный файл, токен сессии нужно считать скомпрометированным и заменить: для бизнеса это означает, что защита ИИ-агентов должна включать проверку рабочих каталогов и конфигураций наряду с контролем пакетов.