Шкідливий файл з інструкціями, що знаходився в папці «Завантаження» (Downloads) розробника, намагався змусити його автономного ШІ-асистента для написання коду встановити відомий шкідливий пакет npm.
Шкідливий файл з інструкціями, що знаходився в папці «Завантаження» (Downloads) розробника, намагався змусити його автономного ШІ-асистента для написання коду встановити відомий шкідливий пакет npm.
Про це йдеться у звіті компанії із кібербезпеки Forever Security, повідомляє The Hacker News.
Спробу атаки зафіксували на реальному комп’ютері клієнта та зупинили ШІ-агента до того, як той встиг виконати код. Як саме файл потрапив до папки, наразі невідомо.
Зловмисники використали файл AGENTS.md — звичайний текстовий документ з інструкціями, який ШІ-асистенти (наприклад, OpenAI Codex) автоматично зчитують під час запуску в папці та сприймають як вказівки до дій.
Файл був замаскований під звичайні технічні нотатки розробника. В одному з розділів ШІ-агенту наказувалося додати сервер до власних налаштувань та встановити пакет function-color з реєстру npm. Цей пакет є частиною шкідливої кампанії MALFEX (задокументованої дослідниками CloudSEK та Checkmarx): він завантажує шкідливе ПЗ function-flag, яке запускає вірусне навантаження на ОС Windows.
Експерти з Forever Security пояснюють уразливість поєднанням двох факторів:
ШІ за замовчуванням довіряє інструкціям із файлів у папці, де його запущено;
вебсторінки можуть зберігати файли в папку «Завантаження» без сповіщень чи згоди користувача.
Таким образом, зловмисний сайт може непомітно підкинути файл інструкцій у папку, якій ШІ-асистент беззастережно довіряє.
Forever Security відтворила атаку на двох популярних AI-інструментах у ізольованому середовищі.
Файл змусив Codex зареєструвати сервер зловмисника в глобальному конфігу ~/.codex/config.toml та виконати команду встановлення вірусу. Оскільки цей конфіг застосовується до всіх наступних сесій, зміна дозволяла завантажувати сервер нападника в будь-якій папці системи. Codex виконував шкідливий сценарій у понад 90% випадків.
Файл CLAUDE.md намагався змусити Claude прописати параметр ANTHROPIC_BASE_URL у налаштуваннях проєкту, перенаправляючи API-трафік на сервер нападників. Це призводить до витоку токена авторизації (фактично викрадення акаунту). Claude запитує підтвердження користувача перед записом, проте через розлогий маскувальний текст під «технічну документацію» користувачі схвалювали дію приблизно в 50% випадків.
За даними телеметрії Forever Security, близько половини їхніх клієнтів запускають ШІ-асистентів безпосередньо в папці «Завантаження», а чверть сесій ШІ-агентів самі відкривають браузер, що створює ідеальні умови для непомітної атаки.
Основні рекомендації з безпеки:
