Файл с инструкции в Downloads узурпира AI агента за код

преди 6 дни

време за четене: 4 мин.

Агентите за писане на код четат файл с инструкции от папката, в която са пуснати, и го следват като задание. Изследователи показаха, че уеб страница може да остави такъв файл в папката Downloads без нито едно кликване. Нищо в агента не е повредено: той изпълнява точно това, за което е създаден, само че заповедта е дошла от чужд човек.

В тъмен офис вечер робот послушно чете дълъг лист с указания, пъхнат в пощенската му кутия от непозната ръка през процеп в стената, и вече посяга към кутия с инструменти, а жена разработчик на бюрото до него се обръща стреснато и протяга ръка да вземе листа.

Какво откриха изследователите

Историята започва с реален случай. Системата на компанията Forever Security, която следи какво правят AI агентите на клиентите ѝ, спира агент за код в момента, в който той се опитва да инсталира пакета function-color. Това е известен зловреден пакет от кампания, останала незабелязана около две години. Изненадата е откъде е дошла заповедта: от файл AGENTS.md в папката Downloads на клиента, която е била и работна папка на агента.

Как файлът е попаднал там, не е установено. Изследователите обаче показват, че обикновена уеб страница може да свали файл с това име в Downloads тихо. Chrome, Edge и Firefox по подразбиране записват свалените файлове там, без да питат, макар че показват известие. BleepingComputer е проверил демонстрационната страница и тя наистина е свалила безобиден AGENTS.md, а Brave е поискал разрешение.

После екипът повтаря атаката. Срещу Codex на OpenAI, с безобиден заместител, който само отваря калкулатора, тя е успявала в над 90% от опитите. Истинският зловреден пакет е пуснат веднъж, в изолирана виртуална машина. Условието е Codex да има доверие на папката, а то се получава, щом потребителят вече е работил в Downloads. Промяната отива в общата настройка на Codex за целия компютър, тоест следващата сесия я зарежда във всяка папка. Claude Code се е оказал по-труден за заблуда. Специално написан CLAUDE.md го е карал да пренасочи връзката си към сървър на изследователите и така да издаде своя ключ за вход в около половината от тестовете, като записът на настройката обикновено иска одобрение от човек.

Защо файл с инструкции действа като програма

Документацията на Codex описва механизма директно: агентът чете AGENTS.md, преди да започне каквато и да е работа, а ако не намери корен на проекта, проверява текущата папка. Claude Code прави същото със своя CLAUDE.md, а може да чете и AGENTS.md. Това е удобство, за което тези файлове съществуват: правилата на проекта, командите за тестове, конвенциите.

Файл с инструкции не е изпълним файл и затова защитите, които спират непознати програми, не го засягат. Той просто стои в папката като всяко сваляне, докато агент не го прочете. Изследователите го казват направо: OpenAI и Anthropic нямат какво да поправят, защото агентът, който следва AGENTS.md в папката си, работи точно както е проектиран. Класът атаки не е нов: екипът на NVIDIA показа през април как зловредна библиотека записва AGENTS.md по време на компилиране и подчинява Codex. Новото е входът през браузъра.

Нашият анализ: шевът между две безобидни неща

Наблюдаваме атака, в която нито една от двете части не е грешка. Браузърът от десетилетия може да записва в Downloads. Агентът е създаден да вярва на папката си. Опасността живее в шева между тях, а по думите на изследователите този шев досега не е бил в ничий модел на заплахите.

Навикът, който превръща това в реален риск, е масов. По данни на компанията около половината от клиентите ѝ пускат агент за код в Downloads, обикновено за да подреди папката или да обработи току-що свален файл. Изследователят Гал Вайцман казва пред BleepingComputer, че само Claude Code е стартирал над 1300 сесии от това място. Числата са от наблюденията на една компания върху нейните клиенти и не описват всички потребители.

Какво може да се направи

OpenAI и Anthropic съветват агентът да се пуска в корена на конкретния проект, а не в домашната папка или в широка родителска папка. Изследователите и BleepingComputer добавят изрично: не и в Downloads. Работната папка е границата на доверието, затова трябва да е толкова тясна, колкото позволява задачата.

За екипите, които вече ползват такива агенти, следват няколко навика. Непознат AGENTS.md или CLAUDE.md се прочита, преди агентът да го следва. Одобренията за запис и изолираната среда за команди остават включени. Код с неясен произход се пробва първо в отделна среда.

Заключение

Агентът за код слуша всеки, който успее да остави бележка в папката му. Затова въпросът при работа с такъв агент не е само какво може той, а и коя папка му даваме за дом.

Искате да започнете с AI от нулата? Безплатният курс „Основи на AI“ е 17 видео урока, около 35 минути, със сертификат: Започнете безплатния курс по AI

Помагаме на български екипи за разработка да въведат AI агенти за код с ясни граници на достъп още от първия ден. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация, когато разработчиците вече пускат агенти на собствените си компютри без общи правила за работните папки и одобренията. [Свържете се с нас за консултация: academy@razvivai.se]