Файл на 13 КБ прятал команду для установки вредоносного пакета

Исследователи проверили, как тот же приём действует на OpenAI Codex, и отдельно испытали похожую атаку на Claude Code.

Файл назывался AGENTS.md. Разработчики используют такие документы, чтобы задавать ИИ-агентам правила работы над проектом. Агент читает инструкции в рабочей папке и может выполнить их до того, как приступит к запросу пользователя. На компьютере клиента в документе обнаружилась команда, которая в итоге вела к установке вредоносного npm-пакета function-color. Защита Forever Security остановила установку до запуска кода.

Как AGENTS.md попал на компьютер клиента, исследователи не установили. Они показали один из возможных путей: веб-страница может сохранить файл в «Загрузки», а запущенный там агент затем прочитает его как рабочую инструкцию. Сам по себе документ представляет собой обычный текст. Опасность возникает, когда агент принимает записанные в нём команды и меняет настройки или запускает программы с доступными ему правами.

Атака на ИИ-агентов в Codex и Claude Code

Для проверки Codex исследователи взяли именно тот AGENTS.md, который нашли у клиента, и запустили его в изолированной виртуальной машине. Под видом настройки проектных инструментов файл велел агенту добавить сервер в общую конфигурацию Codex, затем установить function-color. В одном из опытов команда запустила настоящий вредоносный пакет, не допуская его на рабочий компьютер. По данным Forever Security, Codex выполнял установку более чем в 90% попыток.

Изменение затрагивало файл ~/.codex/config.toml, который действует для всех сессий Codex на компьютере. Поэтому уход из папки «Загрузки» не устранял бы внесённую настройку: зарегистрированный сервер загружался бы при следующих запусках агента в других проектах. Вредоносная команда скрывалась ближе к концу 13-килобайтного документа с обычными на вид инженерными правилами. В нём установка пакета подавалась как подготовка инструментов перед выполнением пользовательской задачи.

Атаку на Claude Code команда разработала отдельно, используя файл CLAUDE.md. Он предлагал агенту записать в настройки проекта адрес якобы внутреннего шлюза. Если Claude принимал инструкцию, его обращения к API уходили на сервер исследователей вместе с OAuth-токеном входа. Проверка захваченного токена показала, что с ним можно обратиться к настоящему API от имени пользователя. Сервер также мог отвечать агенту вместо модели и передавать ему команды для выполнения.

По оценке Forever Security, Claude Code выполнял необходимое для атаки изменение настроек примерно в половине испытаний. В части опытов исследователи добились выполнения кода уже в текущей сессии, заставив агента открыть новое соединение через подагента. Сценарий отличался от атаки на Codex: найденный у клиента AGENTS.md предназначался для установки пакета, а файл для Claude Code исследователи составили сами.

Похожие способы воздействия на ИИ-агентов изучали и раньше. Как пишет Mashable, в марте 2025 года исследователи Pillar Security прятали вредоносные указания в правилах программирования, чтобы агенты добавляли нежелательный код в проект. В апреле 2026 года исследователи Nvidia использовали изменённый AGENTS.md, чтобы заставить Codex испортить программу и скрыть правку. В случае Forever Security подозрительный файл обнаружили, когда агент работал на компьютере клиента.

Forever Security советует не запускать ИИ-агентов из папки «Загрузки» и читать незнакомые AGENTS.md и CLAUDE.md перед работой с ними. Компания также рекомендует сохранять запросы на подтверждение действий и ограничения изолированной среды. Если агент уже выполнил подозрительные указания, нужно проверить его конфигурацию на незнакомые серверы и адреса API, а потенциально раскрытые токены заменить. Удаление исходного текстового файла само по себе не отменит настройки, которые агент успел изменить.