AI-kodningsagenter kan kapas via instruktionsfiler i nedladdningsmappen

laptop computer beside coffee mug — Alex Knight / Unsplash

Forskare har upptäckt att AI-kodningsagenter kan manipuleras till att installera skadliga paket genom en instruktionsfil i formatet markdown som placerats i en kunds nedladdningsmapp.

Det rör sig om en fil med namnet AGENTS.md. Dessa filer är textdokument som innehåller specifika instruktioner för projekt, såsom vilka verktyg som ska användas, hur tester ska köras och vilka kodningskonventioner som ska följas. Eftersom agenter automatiskt laddar relevanta filer från sin arbetsmapp kan skadliga instruktioner leda till att agenten kör kommandon, installerar paket eller ändrar inställningar med de behörigheter den har.

Forskare vid Forever Security upptäckte taktiken på en dator där en agent försökte installera det skadliga npm-paketet function-color. Utredningen visade att försöket berodde på en AGENTS.md-fil i mappen för nedladdningar, vilken också fungerade som agentens arbetsmapp.

Genom att återskapa attacken kunde forskarna manipulera OpenAI Codex och Claude Code till att antingen köra kod eller stjäla inloggningsuppgifter. I tester mot Codex med en ofarlig nyttolast som öppnade kalkylatorn var framgångsgraden 90 procent. I ett annat test användes en fil med namnet CLAUDE.md för att omdirigera API-trafik från Claude Code till en extern server. Detta exponerade agentens OAuth-token, vilket i ungefär 50 procent av fallen gjorde det möjligt att utge sig för att vara modellen och returnera anrop som körde kod.

Det konstaterades att webbsidor kan ladda ner en fil med namnet AGENTS.md till nedladdningsmappen utan användarens interaktion. Webbläsare som Chrome, Edge och Firefox sparar ofta filer där som standard utan att fråga om plats. Attacken kräver dock att användaren startar sin AI-agent i samma mapp. Enligt intern statistik körs hundratals agenter, inklusive Cursor CLI, OpenAI Codex och Claude Code, från nedladdningsmappen, där Claude Code ensamt hade över 1 300 sessioner.

OpenAI och Anthropic rekommenderar att agenter körs från det specifika projektets katalog istället för i hemma- eller nedladdningsmappen. Detta begränsar agentens arbetsområde och minskar risken att den bearbetar filer från orelaterade platser. Användare bör granska okända instruktionsfiler, behålla godkännandeprompter och sandlådeskydd, samt testa kod i isolerade miljöer.