Zlonamerne instrukcije iz Preuzimanja ciljaju AI agente za programiranje

Forever Security je na računaru stvarnog klijenta otkrio i zaustavio fajl AGENTS.md u fascikli Preuzimanja koji je AI agenta za programiranje pokušao da navede da instalira zlonamerni npm paket function-color. U izolovanoj virtuelnoj mašini Codex je izvršio napad u više od 90% pokušaja, dok je druga varijanta protiv Claude Code uspevala približno u polovini slučajeva kada je odobrena izmena podešavanja.

Fajl AGENTS.md je običan tekst sa uputstvima koja agent, poput OpenAI Codexa, čita pri pokretanju u određenoj fascikli. U ovom slučaju bio je predstavljen kao rutinska inženjerska dokumentacija, ali je od agenta tražio da doda server u sopstvenu konfiguraciju i instalira sporni paket.

Kako instrukcija postaje put do malvera

Package function-color povezan je sa kampanjom koju su CloudSEK i Checkmarx nazvali MALFEX. On povlači downloader function-flag, a taj program zatim preuzima i pokreće Windows payload. Forever Security nije utvrdio kako je sporni fajl dospeo na računar klijenta niti je dokazao da je korišćen put preko interneta.

Ipak, istraživači su pokazali da je takav lanac tehnički moguć: veb stranica može bez klika ili dodatnog zahteva za dozvolu sačuvati fajl u fasciklu Preuzimanja, uz izbor imena i sadržaja. Agent zatim može taj fajl tretirati kao skup pouzdanih instrukcija ako je pokrenut u istoj fascikli.

U testu sa Codexom instrukcija je nalagala upis servera u ~/.codex/config.toml i izvršavanje komande za instalaciju paketa. To je posebno važno zato što se navedena konfiguracija primenjuje na svaku narednu Codex sesiju na tom računaru, a ne samo na rad u fascikli Preuzimanja. Posledica bi bila učitavanje napadačevog servera i pri otvaranju drugih projekata.

Claude Code i rizik od krađe sesije

Napad na Claude Code koristio je fajl CLAUDE.md, predstavljen kao uputstvo za interno mrežno pristupanje. Cilj je bio upis promenljive ANTHROPIC_BASE_URL u projektni fajl podešavanja, čime bi se API saobraćaj usmerio na server pod kontrolom istraživača.

Takva promena može otkriti token za prijavu u aktivnoj sesiji, a udaljenom serveru omogućiti da odgovara kao model i vraća komande koje agent izvršava. Claude Code za ovu vrstu upisa traži odobrenje korisnika i često odbija sumnjive zahteve, ali je dokumentacija dugog, tehničkog formata u testovima dobijala odobrenje približno u polovini pokušaja.

Kontrole koje vredi uvesti odmah

Forever Security procenjuje da oko polovine njegovih klijenata pokreće agenta za programiranje iz fascikle Preuzimanja, dok približno četvrtina sesija agenta otvara pregledač. Ta kombinacija povećava izloženost jer veb može upisati fajl baš u radnu fasciklu agenta, ponekad bez prisustva osobe koja bi primetila preuzimanje.

• Ne pokretati Codex, Claude Code ni druge agente iz fascikle Preuzimanja.
• Pre rada pregledati AGENTS.md i CLAUDE.md, naročito u novokloniranim repozitorijumima.
• Proveriti ~/.codex/config.toml za nepoznate servere ili promenjeni osnovni URL, kao i .claude/settings.json za neočekivani ANTHROPIC_BASE_URL.
• Ne isključivati potvrde i izolovana okruženja na zahtev instrukcionog fajla.

Ako se pronađe podmetnuti fajl, token treba tretirati kao potencijalno kompromitovan i odmah ga rotirati. Za poslovanje je ključna jednostavna disciplina: instrukcioni fajlovi uz kod nisu neutralne beleške, već mogu biti operativne naredbe za AI agenta i zato ih treba proveriti pre pokretanja alata.