Hakerzy mogą przejąć kontrolę nad Codex i Claude Code przez złośliwe pliki w folderze Pobrane
Hakerzy mogą przejąć kontrolę nad Codex i Claude Code przez złośliwe pliki w folderze Pobrane
Zwykły plik tekstowy w ~/Downloads może zmusić agenty AI do pisania kodu do zmiany ustawień, instalacji malware lub ujawnienia tokenów autoryzacyjnych, według Forever Security.
Hakerzy mogą przejąć kontrolę nad OpenAI Codex i Claude Code od Anthropic za pomocą złośliwych plików umieszczonych w folderze Pobrane użytkownika.
Zwykły plik tekstowy w ~/Downloads może sprawić, że agenci AI zmienią własne ustawienia, zainstalują malware lub ujawnią tokeny autoryzacyjne użytkownika.
Historia zaczęła się od tego, że system ochrony Forever Security zablokował próbę agenta AI zainstalowania pakietu npm function-color, który rozpowszechniał malware.
W trakcie śledztwa specjaliści ustalili, że polecenie instalacji pochodziło z pliku AGENTS.md znajdującego się w katalogu ~/Downloads na komputerze klienta.
«To nie jest zwykłe malware» – pisali badacze Gal Weizman i Omer Samet. «AGENTS.md to plik, któremu agent ze swojej natury musi ufać i którego instrukcje ma obowiązek wykonać. A ~/Downloads to jedyny folder, do którego strona internetowa może umieścić plik bez ani jednego kliknięcia i bez zgody użytkownika. Razem te cechy pozwalają stronie niezauważalnie podrzucać polecenia, które następnie wykonuje twój własny agent. Markdown staje się nowym kodem wykonywalnym.»
Badacze odtworzyli atak na OpenAI Codex i Claude Code od Anthropic:
- Codex wykonywał złośliwe instrukcje w ponad 90% testów.
- Claude Code był podatny w około 50% przypadków.
Zdaniem badaczy «OpenAI i Anthropic nie mają tu nic do naprawienia». Agent wykonujący instrukcje z pliku w katalogu roboczym zachowuje się dokładnie tak, jak został zaprojektowany – podobnie jak przeglądarka wyświetlająca stronę phishingową technicznie realizuje swoją funkcję.
Zalecają nie uruchamiać agentów AI do rozwoju z folderu Pobrane oraz uważnie sprawdzać wszelkie pliki AGENTS.md lub CLAUDE.md, których użytkownik nie tworzył samodzielnie, zanim nada agentowi dostęp do tego katalogu.
Dotyczy to również repozytoriów, które programista właśnie skopiował na swój komputer.
Jeśli kiedykolwiek uruchamiałeś Codex lub Claude Code z folderu Pobrane, warto sprawdzić pliki konfiguracyjne pod kątem nieznanych serwerów i linków.
Dlaczego to ważne
AnalizaAgenci AI do pisania kodu często traktują lokalne pliki instrukcji Markdown jako zaufany kontekst, więc ciche podrzucenie pliku do folderu Pobrane może zamienić zwykły tekst w zdalny kanał poleceń służący do uruchamiania złośliwego kodu i kradzieży tokenów.
Dyskutuj w społeczności
Dziel się swoimi pytaniami i spostrzeżeniami z programistami
Powiązane w ekosystemie
Praktyczne poradniki, kluczowa terminologia i skille agentów
Jedna linia w AGENTS.md sprawiła, że Claude Code i Codex podążali za kodem, a nie za przestarzałą dokumentacją
Badacze wykazali, że agenci kodujący często podążają za przestarzałą dokumentacją, nawet gdy widzą sprzeczności z rzeczywistym kodem. Jedna instrukcja w AGENTS.md zwiększyła podążanie za istniejącym kodem z 4% do 91%.
Claude Code Projects: jak jeden AI koordynuje zespół autonomicznych agentów
Głęboka analiza Claude Code Projects: architektura Coordinator i Threads, równoległe gałęzie, wspólna pamięć MEMORY.md oraz zarządzanie agentami w chmurze.
Część II. Praca z Codexem – optymalizacja, bezpieczeństwo i zarządzanie zespołem
Codex to nie tylko autouzupełnianie kodu w czacie, ale pełnoprawny agent inżynierski: czyta repozytorium, planuje zmiany, edytuje pliki, uruchamia testy, weryfikuje własne różnice (diffy) oraz potrafi pracować...
Claude Code
Oficjalny terminalowy agent deweloperski od Anthropic, działający bezpośrednio w linii komend za pośrednictwem modelu Claude 3.7 Sonnet z natywną obsługą Bash, Git, systemu plików oraz protokołu MCP.
OpenAI pokazuje, że izolowane agenci AI mogą komunikować się bez sieci przez cache procesora
OpenAI opisało eksperymenty, w których agenci AI w odizolowanych środowiskach przekazywali informacje przez kanały boczne, takie jak cache CPU, co podważa założenie pełnej izolacji sieciowej i plikowej.
Przycisk zatwierdzenia przez człowieka (Human-in-the-Loop / HITL)
Wzorzec architektoniczny bezpieczeństwa autonomicznych agentów (Human-in-the-Loop), który wprowadza punkty kontrolne (Approval Gates) przed wykonaniem krytycznych operacji. Agent przygotowuje akcję (np. płatność, usunięcie bazy danych, wysłanie wiadomości do klienta), ale wstrzymuje jej realizację do momentu wyraźnego zatwierdzenia przez żywego człowieka.