Безопасность 26 октября 2026, 12:37 МСК

Файл AGENTS.md в папке «Загрузки» позволил взломать ИИ-агентов Codex и Claude Code

Исследователи Forever Security показали, что вредоносный AGENTS.md в папке ~/Downloads заставляет ИИ-агентов выполнять чужие команды и красть OAuth-токены.

Атаку обнаружили на компьютере клиента Forever Security: ИИ-агент для написания кода пытался установить вредоносный npm-пакет «function-color». Причиной оказался файл AGENTS.md в ~/Downloads, которая одновременно была рабочей директорией агента. Агенты автоматически читают такие файлы и следуют инструкциям, поэтому вредоносный текст может привести к запуску команд, установке пакетов или изменению настроек.

Исследователи воспроизвели атаку на OpenAI Codex и показали аналогичный метод для Claude Code. В тесте с Codex безобидная нагрузка, открывавшая «Калькулятор», сработала в 90% случаев. В другом эксперименте файл CLAUDE.md перенаправил API-трафик Claude Code на сервер исследователей, что привело к утечке OAuth-токена; в 50% случаев это позволяло выполнить произвольный код.

Как файл попал в папку на устройстве жертвы, установить не удалось. По словам исследователей, переданным BleepingComputer, для этого достаточно посетить скомпрометированный сайт: веб-страница может сама сохранить файл в ~/Downloads. Chrome, Edge и Firefox по умолчанию сохраняют файлы без запроса, хотя показывают уведомление, а Brave просит подтвердить загрузку. Для успеха атаки пользователь должен запустить агента в этой папке. По словам Гала Вайцмана, так делают сотни пользователей, а только Claude Code запускали оттуда более 1300 раз.

Исследователи считают, что разработчики OpenAI и Anthropic здесь ничего исправить не могут: агент просто выполняет инструкции из рабочей папки.

• Успех атаки на Codex — 90%, на Claude Code — 50%
• Более 1300 сессий Claude Code запущено из ~/Downloads
• Вредоносный пакет назывался «function-color»