Claude Code и Codex подчиняются файлу, который любой сайт может подбросить в «Загрузки»

Текстовый файл, который сайт сохраняет в папку «Загрузки», теперь может отдавать команды ИИ-агенту для программирования на вашем компьютере. Исследователи из Forever Security обнаружили на компьютере клиента подложный файл AGENTS.md — обычный текстовый файл с инструкциями, который такие инструменты, как Codex от OpenAI, читают при запуске. В нём агенту предлагалось установить известное вредоносное ПО. Если вы когда-нибудь запускали Claude Code или Codex из папки «Загрузки», чтобы навести там порядок или поработать с только что скачанным файлом, значит, вы доверили этой папке столько же, сколько одному из собственных проектов.

С точки зрения собственных правил агент не сделал ничего плохого. AGENTS.md и его аналог для Claude, CLAUDE.md, нужны, чтобы проект мог сообщить агенту, какими инструментами пользоваться и как запускать тесты; агент же создан, чтобы следовать таким указаниям. Исследователи обращают внимание на то, что «Загрузки» — единственная папка, которую интернет может наполнять самостоятельно. «Здесь OpenAI или Anthropic нечего исправлять», — пишут они. «Если агент следует инструкциям AGENTS.md в своей папке, он делает именно то, для чего был создан».

Настоящий файл представлял собой документ объёмом 13 КБ под названием «Инженерные рекомендации»: атака была спрятана ближе к концу и изложена спокойным тоном обычной инструкции по настройке. Codex предлагалось добавить в конфигурацию сервер «инструментов проекта» и установить npm-пакет function-color. По словам исследователей, это вредоносная программа из кампании, которая оставалась незамеченной около двух лет. Программное обеспечение Forever заблокировало установку до запуска какого-либо кода. В ходе тестов команды — в основном с безвредной заменой, которая лишь открывала калькулятор, — Codex выполнял указания из файла более чем в 90% случаев; настоящий пакет также однажды запустился в изолированной виртуальной машине. Изменения вносятся в общесистемный файл настроек Codex, поэтому при каждом последующем запуске Codex, в какой бы папке он ни находился, будет загружать сервер злоумышленника.

Обмануть Claude Code оказалось сложнее. Команда создала собственный файл CLAUDE.md, который убеждает Claude направлять API-трафик на контролируемый злоумышленником сервер, замаскированный под корпоративный шлюз. Эта настройка передаёт серверу токен входа Claude. Исследователи повторно использовали его для обращения к настоящему API Anthropic от имени жертвы, а фальшивый сервер при этом может отвечать так, будто он и есть модель, отправляя команды с отключённой песочницей. Claude просит человека подтвердить подобное изменение настроек и часто отказывается его выполнять, однако примерно в половине случаев запись всё же удавалась.

Чтобы файл оказался на компьютере, требуется меньше усилий, чем можно подумать. По умолчанию Chrome, Edge и Firefox сохраняют загрузки в эту папку, не спрашивая, куда поместить файл, а сайт может сам выбрать его имя и содержимое. BleepingComputer, рассказавший об этой находке, открыл страницу исследователей с демонстрацией атаки и увидел, как она сохраняет безвредный AGENTS.md. Brave сначала запросил разрешение. Исследователь Forever Галь Вайцман (Gal Weizman) сообщил изданию, что сотни клиентов компании запускают Claude Code, Codex или командного агента Cursor из папки «Загрузки», а один только Claude Code был запущен там более 1300 раз.

В исследовании остаются пробелы. Forever не удалось установить, как вредоносный файл попал на компьютер клиента; кроме того, для атаки всё равно нужно, чтобы кто-то после этого запустил агента в той же папке. Chrome, Edge и Firefox показывают уведомление о загрузке, которое внимательный пользователь может заметить. Настоящая вредоносная программа была написана для macOS. Кроме того, Forever продаёт ПО для мониторинга ИИ-агентов, поэтому компания заинтересована в теме риска, о котором рассказывает, а в отчёте нет ответа от OpenAI или Anthropic. Используемые инструменты продаются по всему миру, поэтому риск одинаков на всех рынках, где ими пользуются разработчики.

Главная защита — соблюдать простые правила. Никогда не запускайте агента для программирования из папки «Загрузки»: работайте с ним в папке проекта, для которого он предназначен. Именно это уже рекомендуют OpenAI и Anthropic. Прежде чем агент увидит файл AGENTS.md или CLAUDE.md, который создали не вы, прочитайте его и не отключайте запросы на подтверждение и песочницу. В файле настроек Codex проверьте, нет ли записи о сервере, которого вы не добавляли. В настройках Claude для проекта поищите адрес API, который вы не указывали. Если обнаружите такой адрес или сервер, считайте токен входа похищенным и отзовите его; любой компьютер, на котором установили function-color — npm уже удалил пакет, — следует считать скомпрометированным.

Forever опубликовала свой отчёт 22 октября, а материал BleepingComputer вышел 25 октября. Исследователи утверждают, что таким же образом можно направить действия любого агента, который читает файл с инструкциями и способен менять собственную конфигурацию. Поэтому Codex и Claude Code — лишь первые два имени в потенциально длинном списке. Раньше скачанный через браузер файл оставался безвредным, пока кто-нибудь его не открывал. Теперь он открывается сам — как только агент начинает читать содержимое папки.

Теги: OpenAI, кибербезопасность, Anthropic, ИИ-агенты, Claude Code, Forever Security