Исследователи из компании Forever Security обнаружили, что файл AGENTS.md, помещённый в папку Downloads, может заставить ИИ-агента для кода выполнить опасные действия. Например, установить вредоносный npm-пакет или украсть учётные данные.
Файлы AGENTS.md — это текстовые инструкции для ИИ-агентов. Агенты автоматически загружают их из рабочей папки и следуют указаниям. Папка Downloads — единственная, куда любой сайт может сохранить файл без ведома пользователя. Браузеры Chrome, Edge и Firefox по умолчанию сохраняют загруженные файлы туда без подтверждения.
Если пользователь запускает ИИ-агента в папке Downloads, агент читает вредоносный AGENTS.md и выполняет его команды. Исследователи провели тесты с OpenAI Codex и Claude Code. Для Codex атака удалась в 90% случаев — агент открывал калькулятор по команде из файла. Для Claude Code создали вредоносный CLAUDE.md, который перенаправлял трафик на сервер злоумышленников и перехватывал OAuth-токены. Успешность — около 50%.
Forever Security отмечает, что проблема не в уязвимости самих агентов, а в сочетании стандартного поведения браузера и агента. Ответственность за безопасность лежит на пользователе.
OpenAI и Anthropic рекомендуют запускать ИИ-агентов из папки конкретного проекта, а не из домашней директории или папки Downloads. Чем уже рабочая область, тем меньше риск, что агент обработает недоверенные файлы.
Пользователям стоит проверять незнакомые файлы AGENTS.md, CLAUDE.md и аналогичные перед выполнением. Также не отключать запросы подтверждения и песочницу, а подозрительный код тестировать в изолированной среде.
