Хакеры могут получить контроль над Codex и Claude Code через файлы в папке «Загрузки»
Хакеры могут получить контроль над Codex и Claude Code через файлы в папке «Загрузки»
Обычный текстовый файл в ~/Downloads способен заставить ИИ-агентов изменить настройки, установить вредоносное ПО или раскрыть токены авторизации, выяснили в Forever Security.
Хакеры могут получить контроль над Codex и Claude Code с помощью вредоносных файлов в папке «Загрузки».
Обычный текстовый файл, помещённый в папку «Загрузки», способен заставить ИИ-агентов изменить собственные настройки, установить вредоносное ПО или раскрыть токены авторизации пользователя.
История началась с того, что система защиты Forever Security заблокировала попытку ИИ-агента установить npm-пакет function-color, распространяющий вредоносное ПО.
В ходе расследования специалисты выяснили, что команда на установку поступила из файла AGENTS.md, находившегося в папке ~/Downloads на компьютере клиента.
«Это не обычное вредоносное ПО, — пишут исследователи компании Гал Вайцман и Омер Самет. — AGENTS.md - это файл, которому агент по самой своей природе должен доверять и инструкции которого обязан выполнять. А ~/Downloads - единственная папка, в которую веб-сайт может поместить файл без единого щелчка мышью и без разрешения пользователя. Вместе эти особенности позволяют веб-сайту незаметно подбрасывать команды, которые затем выполняет ваш собственный агент. Markdown становится новым исполняемым кодом».
Исследователи решили воспроизвести атаку на OpenAI Codex и Claude Code от Anthropic:
- Codex выполнял вредоносные инструкции более чем в 90% испытаний.
- Claude Code поддавался атаке примерно в 50% случаев.
По мнению исследователей, «OpenAI и Anthropic здесь нечего исправлять». Агент, выполняющий инструкции из файла в рабочей директории, действует именно так, как был задуман. Подобно тому как браузер, отображающий фишинговую страницу, технически выполняет свою функцию.
Они рекомендуют не запускать ИИ-агентов для разработки в папке «Загрузки» и внимательно изучать любые файлы AGENTS.md или CLAUDE.md, которые пользователь не создавал самостоятельно, прежде чем предоставлять агенту доступ к соответствующей директории.
Это касается и репозиториев, которые разработчик только что скопировал на свой компьютер.
Если вы когда-либо запускали Codex / Claude из папки «Загрузки», стоит проверить свои конфиг-файлы на наличие неизвестных серверов и ссылок.
Почему это важно
АналитикаЛокальные файлы инструкций, такие как AGENTS.md, воспринимаются агентами как доверенный контекст, поэтому тихая подброска файла в «Загрузки» превращает Markdown в удалённый канал управления.
Обсудить в сообществе
Делитесь опытом и мыслями с ИИ-разработчиками
Связанные материалы экосистемы
Практические гайды, терминология и агентские скиллы
Одна строка в AGENTS.md заставила Claude Code и Codex следовать коду, а не устаревшей документации
Исследователи показали, что агенты кода часто следуют устаревшей документации даже при наличии противоречий с реальным кодом. Одна инструкция в AGENTS.md повысила следование существующему коду с 4% до 91%.
Claude Code Projects: как один ИИ координирует команду автономных агентов
Глубокий разбор Claude Code Projects: архитектура Coordinator и Threads, параллельные ветки, общая память MEMORY.md и управление облачными агентами.
Часть II. Как работать с Codex + оптимизация/безопасность/команда
Codex — это не автодополнение кода в чате, а полноценный инженерный агент: он читает репозиторий, планирует изменения, редактирует файлы, гоняет тесты, проверяет свои же диффы и ум...
Claude Code
Официальный терминальный агент разработки от Anthropic, работающий непосредственно в командной строке через Claude 3.7 Sonnet с нативной поддержкой Bash, Git, файловой системы и протокола MCP.
Утечка данных через чат-ботов (Data Leakage)
Опасность компрометации корпоративных секретов, паролей доступа и конфиденциальных персональных данных из-за их непреднамеренной передачи в публичные облачные чат-боты (ChatGPT, Claude, Copilot). Как защитить аккаунты и отключить обучение моделей на ваших запросах.
Модели OpenAI научились обмениваться данными без сети через кеш процессора
OpenAI описала эксперименты, в которых изолированные агенты передавали информацию через побочные каналы, например кеш CPU. Это подрывает привычную модель сетевой и файловой изоляции.