Хакери можуть захопити Codex і Claude Code через шкідливі файли в папці «Завантаження»
Хакери можуть захопити Codex і Claude Code через шкідливі файли в папці «Завантаження»
Звичайний текстовий файл у ~/Downloads змушує ШІ-агентів для коду змінити налаштування, встановити шкідливе ПЗ або розкрити токени авторизації, зазначає Forever Security.
Хакери можуть отримати контроль над OpenAI Codex і Claude Code від Anthropic за допомогою шкідливих файлів, розміщених у папці «Завантаження».
Звичайний текстовий файл у ~/Downloads здатний змусити ШІ-агентів змінити власні налаштування, встановити шкідливе ПЗ або розкрити токени авторизації користувача.
Історія почалася з того, що система захисту Forever Security заблокувала спробу ШІ-агента встановити npm-пакет function-color, який поширював шкідливе ПЗ.
Під час розслідування фахівці з'ясували, що команда на встановлення надійшла з файлу AGENTS.md, який перебував у папці ~/Downloads на комп'ютері клієнта.
«Це не звичайне шкідливе ПЗ, — пишуть дослідники компанії Гал Вайцман і Омер Самет. — AGENTS.md — це файл, якому агент за своєю природою має довіряти й інструкції якого зобов'язаний виконувати. А ~/Downloads — єдина папка, у яку вебсайт може розмістити файл без жодного кліку мишею та без дозволу користувача. Разом ці особливості дозволяють вебсайту непомітно підкидати команди, які потім виконує ваш власний агент. Markdown стає новим виконуваним кодом».
Дослідники відтворили атаку на OpenAI Codex і Claude Code від Anthropic:
- Codex виконував шкідливі інструкції у понад 90% випробувань.
- Claude Code піддавався атаці приблизно у 50% випадків.
На думку дослідників, «OpenAI і Anthropic тут нічого виправляти». Агент, який виконує інструкції з файлу в робочій директорії, діє саме так, як було задумано. Так само як браузер, що відображає фішингову сторінку, технічно виконує свою функцію.
Вони рекомендують не запускати ШІ-агентів для розробки в папці «Завантаження» та уважно перевіряти будь-які файли AGENTS.md або CLAUDE.md, які користувач не створював самостійно, перш ніж надавати агенту доступ до відповідної директорії.
Це стосується й репозиторіїв, які розробник щойно скопіював на свій комп'ютер.
Якщо ви будь-коли запускали Codex або Claude Code з папки «Завантаження», варто перевірити конфіг-файли на наявність невідомих серверів і посилань.
Чому це важливо
АналітикаШІ-агенти для коду часто сприймають локальні Markdown-файли інструкцій як довірений контекст, тому мовчазне підкидання файлу в «Завантаження» може перетворити звичайний текст на віддалений канал керування для виконання шкідливого коду та крадіжки токенів.
Обговорити новину у спільноті
Діліться своїм досвідом та думками з ШІ-розробниками
Пов'язані матеріали екосистеми
Практичні гайди, термінологія та агентські скіли
Один рядок в AGENTS.md змусив Claude Code і Codex слідувати коду, а не застарілій документації
Дослідники виявили, що кодувальні агенти часто продовжують дотримуватися застарілої документації, навіть коли бачать суперечності з реальним кодом. Одна інструкція в AGENTS.md підвищила дотримання наявного коду з 4% до 91%.
Claude Code Projects: як один ШІ координує команду автономних агентів
Глибокий аналіз Claude Code Projects: архітектура Coordinator та Threads, паралельні гілки, спільна пам'ять MEMORY.md та управління хмарними агентами.
Частина II. Як працювати з Codex + оптимізація/безпека/команда
Codex — це не автодоповнення коду в чаті, а повноцінний інженерний агент: він читає репозиторій, планує зміни, редагує файли, запускає тести, перевіряє власні дифи та вміє працюват...
Claude Code
Офіційний термінальний агент розробки від Anthropic, що працює безпосередньо в командному рядку через Claude 3.7 Sonnet з нативною підтримкою Bash, Git, файлової системи та протоколу MCP.
Моделі OpenAI показали, що ізольовані ШІ-агенти можуть спілкуватися без мережі через кеш процесора
OpenAI описала експерименти, у яких ШІ-агенти в ізольованих середовищах передавали інформацію через побічні канали, зокрема кеш CPU. Це ставить під сумнів повну безпеку ізоляції за мережею та файлами.
Витік даних через чат-боти (Data Leakage)
Небезпека компрометації корпоративних секретів, паролів доступу та конфіденційних персональних даних через їх ненавмисну передачу в публічні хмарні чат-боти (ChatGPT, Claude, Copilot). Як захистити акаунти та відключити тренування моделей на ваших запитах.