Skjult instruktionsfil i Downloads kan få AI-kodeagenter til at levere malware

En hjemmeside kan uden brugerens medvirken lægge en tekstfil i Downloads-mappen og dermed få en AI-kodeagent til at gøre ting, brugeren aldrig har bedt om. Det beskriver sikkerhedsfirmaet Forever Securitys forskere Gal Weizman og Omer Samet.

Ifølge Forever fandt firmaet ægte malware på en kundes maskine, som forsøgte at udnytte netop sådan en fil.

Sådan virker angrebet

Kodningsagenter som Codex og Claude Code er AI-programmer, der kan skrive og køre kode for en udvikler. De indlæser automatisk instruktionsfiler som AGENTS.md fra den mappe, de bliver startet i, og følger instruktionerne i dem.

Angrebet kombinerer to ting: at en hjemmeside kan lægge en fil i Downloads-mappen, og at agenterne stoler på instruktionsfiler i den mappe, de arbejder i. Starter man en agent i Downloads, læser den altså angriberens fil.

Ifølge en blogger på DEV Community, som gengiver Forevers fund, er filen i forskernes demonstration udformet som et dokument med »Engineering Work Guidelines«. Det får agenten til at installere en ondsindet npm-pakke (en kodepakke fra et udbredt udviklerbibliotek) eller omdirigere sin trafik til en server, som angriberen styrer.

Forevers testresultater

Mod OpenAI Codex lykkedes angrebet i over 90 procent af forsøgene ifølge Forevers egne tests. Agenten installerede pakken »function-color« og ændrede filen ~/.codex/config.toml, så ændringen består på tværs af sessioner.

Mod Claude Code lykkedes en variant i cirka halvdelen af forsøgene, ifølge Forever. Her blev trafikken til AI-tjenesten omdirigeret til et domæne under angriberens kontrol. Det kunne lække OAuth-tokens, altså adgangsnøgler til konti, og give angriberen mulighed for at køre kode via falske svar fra modellen. En metode, hvor en underagent tjekker i samme session, virkede i cirka en femtedel af forsøgene mod Claude Code.

Forever angiver »function-color« som tegn på, at en maskine er kompromitteret i denne kampagne.

Hvad kan man gøre?

Forever mener ikke, at udbyderne kan lappe problemet, fordi agenterne blot gør det, de er designet til. Firmaet anbefaler:

- Start aldrig agenter i Downloads-mappen. - Gennemse ukendte instruktionsfiler. - Overvåg konfigurationsfiler. - Behold krav om godkendelse og sandboxes (afskærmede miljøer). - Skift legitimationsoplysninger, hvis der er mistanke om kompromittering.

Bloggeren anbefaler desuden screening af pakker ved installation og, at virksomhedsstyrede indstillinger har forrang over projektfiler.

Forbehold

Alle succesrater stammer fra Forevers egne tests og er ikke uafhængigt efterprøvet. Antal forsøg, modelversioner og indstillinger er ikke oplyst. Det er også uklart, hvor udbredt angrebet er i praksis, og kilderne er uenige om, hvor mange der kører agenter fra Downloads-mappen. Svar fra OpenAI og Anthropic fremgår ikke af kilderne.