Claude Code og Codex adlyder en fil som enhver nettside kan legge i Nedlastinger-mappen din

En tekstfil som et nettsted lagrer i Nedlastinger-mappen, kan nå gi instrukser til AI-kodeagenten på datamaskinen din. Forskere hos Forever Security fant en plantet AGENTS.md-fil på en kundes maskin. AGENTS.md er en ren tekstfil med instruksjoner som verktøy som OpenAIs Codex leser når de starter, og denne filen ba agenten installere en kjent type skadevare. Hvis du noen gang har åpnet Claude Code eller Codex fra Nedlastinger for å rydde opp eller jobbe med en fil du nettopp lastet ned, har du gitt mappen samme tillit som et av dine egne prosjekter.

Agenten gjorde ikke noe galt etter sine egne regler. AGENTS.md og Claude-versjonen, CLAUDE.md, finnes for at et prosjekt skal kunne fortelle en agent hvilke verktøy den skal bruke, og hvordan den skal kjøre testene sine. Agenten er laget for å følge instruksjonene. Poenget forskerne trekker fram, er at Nedlastinger er den ene mappen nettet kan fylle på egen hånd. «Det er ingenting her OpenAI eller Anthropic kan rette med en oppdatering», skriver de. «En agent som følger AGENTS.md-filen i mappen sin, gjør akkurat det den er laget for å gjøre.»

Den faktiske filen var et dokument på 13 KB, utformet som tekniske retningslinjer. Angrepet var gjemt mot slutten og formulert med den rolige tonen til en oppsettsveiledning. Codex ble bedt om å legge til en «project tools»-server i konfigurasjonen sin og installere en npm-pakke kalt function-color. Forskerne beskriver pakken som skadevare fra en kampanje som gikk uoppdaget i omtrent to år. Forever-programvaren blokkerte installasjonen før noen kode ble kjørt. I teamets tester, som for det meste brukte en ufarlig erstatning som bare åpnet kalkulatoren, fulgte Codex instruksjonene i filen i mer enn 90 prosent av forsøkene. Den ekte pakken ble også kjørt én gang i en isolert virtuell maskin. Endringen havner i Codex’ innstillingsfil for hele maskinen, slik at alle senere Codex-økter laster inn angriperens server, uansett hvilken mappe de kjøres fra.

Claude Code var vanskeligere å lure. Teamet skrev sin egen CLAUDE.md-fil, som overtaler Claude til å sende API-trafikken sin til en server angriperen kontrollerer, forkledd som en bedriftsgateway. Den ene innstillingen gir fra seg Claudes innloggingstoken. Forskerne spilte tokenet av mot Anthropics ekte API for å opptre som offeret, og den falske serveren kan svare som om den var modellen og sende tilbake kommandoer med sandkassen slått av. Claude ber et menneske godkjenne en slik endring av innstillinger, og avslår den ofte, men endringen gikk likevel gjennom omtrent halvparten av gangene.

Det er enklere enn man skulle tro å få filen inn på en maskin. Chrome, Edge og Firefox lagrer som standard nedlastinger i denne mappen uten å spørre hvor de skal lagres, og en nettside kan bestemme både filnavn og innhold. BleepingComputer, som omtalte funnene, besøkte forskernes demonstrasjonsside og så den legge inn en ufarlig AGENTS.md-fil. Brave ba om tillatelse først. Forever-forskeren Gal Weizman fortalte nettstedet at hundrevis av selskapets kunder kjører Claude Code, Codex eller Cursor-kommandoagenten fra Nedlastinger, og at Claude Code alene hadde startet mer enn 1 300 økter der.

Forskningen har noen hull. Forever kunne ikke fastslå hvordan den skadelige filen havnet på kundens datamaskin, og angrepet forutsetter fortsatt at noen starter en agent i mappen etterpå. Chrome, Edge og Firefox viser riktignok et varsel om nedlastingen, som en oppmerksom bruker kan legge merke til. Den egentlige nyttelasten var skrevet for macOS. Forever selger også overvåkingsprogramvare for AI-agenter, så selskapet har en kommersiell interesse i risikoen det beskriver. Rapporten inneholder heller ikke noe svar fra OpenAI eller Anthropic. Verktøyene selges over hele verden, så risikoen er den samme i alle markeder der utviklere bruker dem.

Forsvaret handler først og fremst om vaner. Ikke start en kodeagent i Nedlastinger. Kjør den fra prosjektmappen den skal arbeide med, slik OpenAI og Anthropic allerede anbefaler. Les alle AGENTS.md- eller CLAUDE.md-filer du ikke selv har skrevet, før en agent får tilgang til dem, og la godkjenningsforespørsler og sandkasser være slått på. Se etter serveroppføringer du ikke har lagt til, i Codex’ innstillingsfil. I et Claude-prosjekts innstillinger bør du se etter en API-adresse du aldri har angitt. Hvis du finner en, må du regne innloggingstokenet som stjålet og tilbakekalle det. Behandle også enhver maskin som har installert function-color, som npm siden har fjernet, som kompromittert.

Forever publiserte rapporten 22. oktober, og BleepingComputer fulgte opp med sin omtale 25. oktober. Forskerne sier at enhver agent som leser en instruksjonsfil og kan endre sin egen konfigurasjon, kan styres på samme måte. Codex og Claude Code er dermed de to første navnene på en lengre liste. Før var en nedlastet fil ufarlig helt til noen åpnet den. Nå åpner filen seg selv i det øyeblikket en agent begynner å lese mappen.

Tagger: OpenAI, cybersikkerhet, Anthropic, KI-agenter, Claude Code, Forever Security