ИИ-агент попытался установить вредоносный npm-пакет из-за файла в загрузках
Изображение: OpenAI
ИИ-агент попытался установить вредоносный npm-пакет function-color из-за файла AGENTS.md в загрузках клиента, выяснила Forever Security, компания, отслеживающая риски ИИ-агентов. Агент работал из папки ~/Downloads и автоматически прочитал файл с инструкциями для проекта.
Исследователи воспроизвели атаку на OpenAI Codex: безвредная команда открытия калькулятора сработала в 90% случаев. В отдельном опыте файл CLAUDE.md перенаправлял обращения Claude Code к API на сервер исследователей, раскрывая токен OAuth. Сервер выдавал себя за модель и возвращал команды для инструментов агента, которые приводили к выполнению кода примерно в 50% тестов.
Как исходный файл оказался у клиента, неизвестно. По словам исследователей, веб-страница может загрузить файл в ~/Downloads без участия пользователя. BleepingComputer проверило демонстрационную страницу исследователей, которая загрузила безвредный AGENTS.md, и рекомендует не использовать ~/Downloads как рабочую папку агента. Некоторые браузеры сохраняют файлы автоматически, хотя показывают уведомление о загрузке. Для продолжения атаки пользователь должен запустить агента из той же папки. По внутренней статистике Forever Security, сотни её клиентов запускают агентов из ~/Downloads; на Claude Code пришлось более 1300 таких сессий.
Исследователи связывают риск со штатным поведением браузеров и агентов. По их оценке, здесь нет ошибки, которую должны исправить OpenAI или Anthropic: агент выполняет инструкции с доступными ему правами.
OpenAI и Anthropic рекомендуют запускать агентов из корня нужного проекта. Незнакомые файлы инструкций следует проверять, прежде чем разрешать агенту следовать им. Запросы подтверждения действий и песочницу рекомендуют оставлять включёнными.
