Angreifer können Codex und Claude Code über schädliche Dateien im Download-Ordner kapern
Angreifer können Codex und Claude Code über schädliche Dateien im Download-Ordner kapern
Eine einfache Textdatei in ~/Downloads kann KI-Coding-Agenten dazu bringen, Einstellungen zu ändern, Malware zu installieren oder Tokens preiszugeben, laut Forever Security.
Angreifer können die Kontrolle über OpenAI Codex und Claude Code von Anthropic übernehmen, wenn schädliche Dateien im Download-Ordner des Nutzers abgelegt werden.
Eine ganz normale Textdatei in ~/Downloads kann dazu führen, dass KI-Agenten ihre eigenen Einstellungen ändern, Malware installieren oder Autorisierungstoken des Nutzers offenlegen.
Die Geschichte begann, als das Schutzsystem von Forever Security den Versuch eines KI-Agenten blockierte, das npm-Paket function-color zu installieren, das Malware verbreitete.
Während der Untersuchung fanden die Spezialisten heraus, dass der Installationsbefehl aus einer Datei AGENTS.md stammte, die sich im Ordner ~/Downloads auf dem Rechner des Kunden befand.
«Das ist keine gewöhnliche Malware», schrieben die Forscher Gal Weizman und Omer Samet. «AGENTS.md ist eine Datei, der ein Agent seiner Natur nach vertrauen und deren Anweisungen er befolgen soll. Und ~/Downloads ist der einzige Ordner, in den eine Website eine Datei ohne einen einzigen Klick und ohne Erlaubnis des Nutzers legen kann. Zusammen ermöglichen diese Eigenschaften einer Website, Befehle unbemerkt einzuschleusen, die dann dein eigener Agent ausführt. Markdown wird zu neuem ausführbarem Code.»
Die Forscher reproduzierten den Angriff gegen OpenAI Codex und Claude Code von Anthropic:
- Codex folgte schädlichen Anweisungen in mehr als 90 % der Tests.
- Claude Code war in etwa 50 % der Fälle anfällig.
Nach Ansicht der Forscher gibt es «hier für OpenAI und Anthropic nichts zu reparieren». Ein Agent, der Anweisungen aus einer Datei im Arbeitsverzeichnis ausführt, verhält sich genau so, wie es vorgesehen war – ähnlich wie ein Browser, der eine Phishing-Seite anzeigt, technisch seine Funktion erfüllt.
Sie empfehlen, KI-Agenten für die Entwicklung nicht aus dem Download-Ordner zu starten und alle Dateien AGENTS.md oder CLAUDE.md, die der Nutzer nicht selbst erstellt hat, sorgfältig zu prüfen, bevor man dem Agenten Zugriff auf das Verzeichnis gewährt.
Das gilt auch für Repositories, die ein Entwickler gerade auf seinen Rechner kopiert hat.
Wer Codex oder Claude Code jemals aus dem Download-Ordner gestartet hat, sollte die Konfigurationsdateien auf unbekannte Server und Links prüfen.
Warum das wichtig ist
AnalyseKI-Coding-Agenten behandeln lokale Markdown-Instruktionsdateien oft als vertrauenswürdigen Kontext, sodass die stille Ablage einer Datei im Download-Ordner gewöhnlichen Text in einen ferngesteuerten Befehlskanal für Malware-Ausführung und Token-Diebstahl verwandeln kann.
In der Community diskutieren
Teile deine Fragen und Erkenntnisse mit Entwicklern
Verwandt im Ökosystem
Praktische Leitfäden, Terminologie und Agenten-Skills
Eine Zeile in AGENTS.md brachte Claude Code und Codex dazu, dem Code statt veralteter Dokumentation zu folgen
Forschende zeigten, dass Coding-Agenten oft veraltete Dokumentation befolgen, obwohl sie Widersprüche zum echten Code erkennen. Eine Anweisung in AGENTS.md erhöhte das Befolgen des vorhandenen Codes von 4% auf 91%.
Claude Code Projects: Wie ein KI-Agent ein Team autonomer Agenten koordiniert
Eine tiefgehende Analyse von Claude Code Projects: die Architektur von Coordinator und Threads, parallele Branches, gemeinsamer Speicher MEMORY.md sowie das Management von Cloud-Agenten.
Teil II: Arbeiten mit Codex – Optimierung, Sicherheit und Team
Codex ist keine einfache Code-Vervollständigung im Chat, sondern ein vollwertiger Engineering-Agent: Er liest das Repository, plant Änderungen, editiert Dateien, führt Tests aus, überprüft eigene Diffs und kann...
Claude Code
Der offizielle Terminal-Entwicklungsagent von Anthropic, der direkt in der Befehlszeile über Claude 3.7 Sonnet läuft und native Unterstützung für Bash, Git, Dateisystemzugriff sowie das MCP-Protokoll bietet.
OpenAI zeigt: isolierte KI-Agenten können ohne Netzwerk über CPU-Cache kommunizieren
OpenAI beschrieb Experimente, in denen KI-Agenten in getrennten isolierten Umgebungen über Seitekanäle wie den Prozessor-Cache Informationen übermittelten und damit die Annahme vollständiger Netzwerk- und Dateiisolierung infrage stellten.
Halluzinierte Abhängigkeiten im Code (Hallucinated Packages)
Eine gefährliche Form von KI-Halluzinationen in der Softwareentwicklung. Das Modell erfindet plausibel klingende, aber nicht existierende Bibliotheken sowie npm-/PyPI-Pakete und schafft so kritische Sicherheitslücken (Slopsquatting).