Forscher von Forever Security fanden in einem Ordner ~/Downloads eines Kunden eine schädliche Datei AGENTS.md, nachdem ein KI-Coding-Agent versucht hatte, das bösartige npm-Paket function-color zu installieren. Das geht aus einem Bericht von BleepingComputer vom 25. Oktober hervor.
Der Downloads-Ordner war zugleich das Arbeitsverzeichnis des Agenten. Dadurch konnte er die Anweisungen des Angreifers als Teil seines Betriebskontexts laden. Die Forscher konnten nicht feststellen, wie die Datei auf den Computer des Kunden gelangt ist. Das gemeldete Ereignis betraf einen versuchten Paketinstallationsversuch; spätere Tests der Forscher zeigten unter anderen Bedingungen Codeausführung und den Diebstahl von Zugangsdaten.
Anweisungen werden zu einem Weg zum Tool-Zugriff
Dateien wie AGENTS.md enthalten projektspezifische Vorgaben für KI-Coding-Agenten, etwa zu Coding-Konventionen, Werkzeugen und Testverfahren. Agenten lesen die passenden Anweisungsdateien automatisch ein und richten ihre Arbeit danach aus.
Die Dateien sind reiner Text, doch ihr Inhalt kann einen Agenten dazu bringen, Befehle auszuführen, Software zu installieren oder Einstellungen zu ändern, und zwar über alle Werkzeuge und Berechtigungen, die ihm zur Verfügung stehen. In diesem Fall konnte die schädliche Anleitung, die im Verzeichnis lag, in dem der Agent gestartet wurde, seine Aktionen beeinflussen.
Forever Security beschrieb das Risiko als Folge beabsichtigten Verhaltens und nicht als Softwarefehler, der einen Patch des Herstellers erfordert. Das ist die Einschätzung der Forscher: Ein Agent, der einer lokalen Anweisungsdatei folgt, erfüllt eine Funktion, für die er entwickelt wurde.
Browser-Downloads als möglicher Verbreitungsweg
Wie die ursprüngliche Datei dorthin gelangte, bleibt ungeklärt. Die Forscher entwickelten jedoch einen Proof of Concept, der zeigt, wie eine Webseite eine Datei AGENTS.md ohne Abfrage des Speicherorts in den Downloads-Ordner herunterladen kann.
BleepingComputer überprüfte, dass die Demonstrationsseite eine harmlose Datei mit den Zeichenketten „sensitive data here“ und „line 2.“ herunterlud. Damit wurde ein möglicher Verbreitungsmechanismus gezeigt, nicht aber, wie die schädliche Datei des Kunden tatsächlich angekommen ist.
Chrome, Edge und Firefox speichern Downloads üblicherweise in ~/Downloads, ohne bei jeder Datei nach einem Speicherort zu fragen. Außerdem zeigen sie standardmäßig Download-Benachrichtigungen an. BleepingComputer erklärte, dass seine Tests mit Browsern wie Brave eine Bestätigung verlangten. Das stellt einen zusätzlichen sichtbaren Warnhinweis dar.
Damit dieser Angriffsweg funktioniert, müsste das Ziel anschließend einen KI-Agenten genau in diesem Ordner starten, damit er die eingeschleusten Anweisungen lesen kann. Forever-Security-Forscher Gal Weizman sagte, interne Statistiken zeigten, dass Hunderte Kunden Agenten aus dem Downloads-Ordner heraus betreiben, wobei allein Claude Code dort über 1.300 Sitzungen verzeichnete. Der Bericht nannte keinen Messzeitraum.
Tests zeigten Ausführung und Offenlegung von Tokens
Forever Security rekonstruierte den Angriff gegen OpenAI Codex mit einer harmlosen Nutzlast, die die Rechneranwendung öffnete. Die Forscher meldeten eine Erfolgsquote von 90 %.
In einem separaten Experiment mit Claude Code leitete eine schädliche Datei CLAUDE.md den API-Verkehr auf einen Server um, den die Forscher kontrollierten. Die Forscher erklärten, dadurch sei das OAuth-Token des Agenten offengelegt worden, und ihr Server habe das Modell imitieren können, indem er Tool-Aufrufe zurückgab, die in rund 50 % der Tests Code ausführten. Diese Prozentwerte beschreiben unterschiedliche Experimente und stellen keinen direkten Vergleich zwischen den Produkten dar.
Die praktische Vorsichtsmaßnahme besteht darin, nicht vertrauenswürdige Downloads aus dem Arbeitskontext eines Agenten fernzuhalten. Laut dem Bericht empfehlen OpenAI und Anthropic, Coding-Agenten im Stammverzeichnis des jeweiligen Projekts zu starten, an dem sie arbeiten sollen, und ihren Arbeitsbereich eng zu begrenzen.
Nutzer sollten außerdem unbekannte Dateien wie AGENTS.md, CLAUDE.md und ähnliche prüfen, Genehmigungsabfragen und Sandbox-Schutzmechanismen beibehalten und bei der Ausführung potenziell nicht vertrauenswürdigen Codes eine isolierte Umgebung verwenden.
