Forever Security erkennt AGENTS.md auf Download, das versucht, das npm Funktions-Farbpaket zu installieren

Die Sicherheitsfirma Forever Security meldete den Nachweis eines Verpflichtungsversuchs an einem Kundenteam: eine Textdatei namens AGENTS, im Download-Ordner platziert, versucht, einen Programmierer zu instruktieren, um ein bösartiges npm-Paket zu installieren. Forever behauptet, dass er die Ausführung beendete, bevor der Code im Host korrigiert wurde und nicht bestätigen konnte, wie diese Datei in den Download-Ordner kam. Die Suche vereint zwei bekannte Vektoren - Befehlsdateien, die Agenten beim Öffnen eines Ordners lesen, und die Fähigkeit der Webseiten, Downloads im Download-Ordner zu verursachen - in einem praktischen Angriffsszenario, das Forscher in reproduzierbarer Weise im Labor getestet.

Konfirmierte Fakten: Forever Security fand auf einem Client-Team eine AGENTS.md, die den Agenten wollte, einen eigenen Server zu seiner Konfiguration hinzuzufügen und die Installation des npm-Funktions-Farbpakets auszuführen. Externe Forscher (einschließlich CloudSEK und Checkmark) haben dokumentiert, dass Funktion-Farbe Teil einer Kampagne namens MALFEX ist: Dieses Paket bringt als Abhängigkeit einen Download namens Funktion-Flag, der herunterladen und eine Nutzlast für Windows läuft. Forever reproduzierte die Logik des Angriffs auf mindestens zwei Agenten (Codex und Claude Code) und stellte fest, dass er die Ausführung oder Exfiltration von Token unter bestimmten Bedingungen erreichen konnte. Darüber hinaus lieferte das Unternehmen interne Telemetrie auf Gebrauchspraktiken: etwa die Hälfte seiner Kunden führen einen Agenten aus Downloads und etwa 25% der Agentensitzungen öffnen einen Browser, Bedingungen, die diesen Vektor erleichtern.

Was technisch passiert ist. Viele Programmierer, die mit dem Code unterstützt werden, der gelesen wird, wenn Sie eine Befehlsdatei im Projektordner starten (in konkreten Beispielen AGENTS.md oder CLAUDE.md) und Konfigurations- oder Befehlsschritte ausführen. Forever verwendet eine Datei, die als Engineering-Notizen getarnt, dem Agenten angezeigt, um eine Server-Eingabe in eine persistente Konfigurationsdatei hinzuzufügen (z. ~ / .codex / config.toml) und einen Befehl ausführen, um das Funktions-Farb-Paket zu installieren. Durch Änderung der Gesamtkonfiguration des Agenten auf einen vom Angreifer gesteuerten Server kann der Gegner zukünftige Sitzungen des Agenten konsultieren und willkürliche Anweisungen aus diesem Server ausführen. Im Falle des Claude-Codes wurde vorgeschlagen, eine Umgebungsvariable oder eine Anpassung (ANTHROPIC _ BASE _ URL) zu schreiben, die die API-Kommunikation des Agenten auf den Endpunkt eines Angreifers umleitet; das kann den Sitzungstoken filtern und bösartige Reaktionen zulassen, die der Agent als gültig annimmt.

Wie die schädliche Datei geliefert wird, bleibt unsicher. Forever unterstreicht zwei Bedingungen, die die Technik machbar machen: ein Agent, der vertraut und gehorcht eine Befehlsdatei in dem Ordner, den er öffnet, und die Tatsache, dass eine Website kann Downloads in den Download-Ordner ohne explizite Benutzerintervention starten in standardmäßig konfigurierten Browserumgebungen. Um die gesamte Kette zu demonstrieren, veröffentlichten Forscher einen Konzepttest: eine Website, die beim Besuch den leisen Download eines AGENTS verursacht. md auf Download. Dies zeigt, dass die technische Route funktioniert; Forever stellte jedoch nicht fest, dass diese Methode verwendet wurde, um die Datei in den Computer des tatsächlichen Clients einzugeben.

Reale Auswirkungen und Konsequenzen. Wenn der Agent die Schritte der schädlichen Datei führt, sind die potenziellen Folgen auf zwei Fronten ernst: schädliche Code Ausführung auf der Maschine(z.B. der Download, der eine Nutzlast für Windows bringt) und Verpflichtung von Anmeldeinformationen und Sitzungstoken die es Ihnen ermöglichen, die Kontrolle über das Service-Konto zu übernehmen (was Forscher als Kontoübernahme beschreiben). Im Fall gegen Codex, Forever berichtete, dass der Agent den Code in mehr als 90% der Versuche ausgeführt; gegen Claude Code war die Rate niedriger, weil dieser Agent um Bestätigung für bestimmte Änderungen gebeten, und die Operation kam in etwa die Hälfte der Versuche, wenn die Datei als umfangreiche technische Dokumentation geschrieben.

Was bestätigt ist und was nicht. Bestätigt: Die Datei AGENTS.md mit schädlichen Anweisungen existierte auf dem Computer des Clients; Funktion-Farbe und Funktion-Flag sind Teil einer Lieferkette, die von anderen Forschern beobachtet wird; Agenten können lokalen Befehlsdateien gehorchen und persistente Einstellungen ändern. Unbestätigt: der genaue Vektor, mit dem die Datei das Team des Clients erreichte - Forever hat nicht festgestellt, ob es sich um einen stillen Download handelte, der von einer Website, einem verstopften Repository oder einer lokalen Insertion induziert wurde - und kein echter Angreifer nutzte den automatischen Download-Konzepttest für diesen spezifischen Vorfall.

Praktische und konkrete Empfehlungen für Entwickler und Sicherheitsausrüstung: menschliche Intervention und Isolation als Standard bei der Ausführung von Agenten zu halten.

Werfen Sie keine Agenten von ~ / Download. Es ist der Ordner, den der Browser ohne zusätzliche Interaktion in den meisten Einstellungen schreiben kann; mit ihm als Agent-Work-Verzeichnis setzt die Software in Kontakt mit Inhalten, die von einer Website platziert wurden.

Bevor ein Agent einen Ordner öffnet, inspizieren Sie Befehlsdateien. Suchen Sie nach AGENTS.md, CLAUDE.md oder jedem README, das unerwartete Konfigurationsschritte enthält; lesen Sie sie vor dem Starten des Agenten. Eine camouflaged Datei in einem neu geklonten Repository ist genug, um die Ausführung zu gewinnen.

Überprüfen Sie die lokalen Einstellungen des Agenten. Überprüfen Sie ~ / .codex / config.toml und äquivalente Dateien (.claude / Settings.json oder andere) für Server-Blöcke oder URLs API, die nicht explizit hinzugefügt haben; behandeln Sie unbefugte Änderungen als Hinweis auf Engagement und rote Token und zugehörige Anmeldeinformationen.

Halten Sie die Genehmigung Tipps und Sandboxen auf. Nicht deaktivieren Sie interaktive Steuerungen, die eine Bestätigung vor dem Schreiben globaler Konfigurationen oder laufender Installationsbefehle benötigen. Wenn der Agent um Privilegien zu erhöhen oder API-Ziele zu ändern, überprüfen Sie es sorgfältig.

Es geht davon aus, dass ein exponiertes Token sofort gültig ist. Wenn Sie eine gepflanzte Datei finden, rollen Sie die Token und schließen Sitzungen; ein gestohlener Token ist eine Live-Session und kann anschließende Aktionen erlauben, auch wenn die erste Anfrage registriert und blockiert wurde.

Reduzieren Sie das Risiko von Browser und Betriebssystem. Setzen Sie den Browser, um automatische Downloads zu blockieren, ändern Sie den Standard-Download-Ordner in einen weniger genutzten Speicherort, um Code auszuführen und betrachten Sie Corporate Policys, die Laufmittel in Verzeichnissen verbieten, dass der Browser manipulieren kann. Technische Dokumentation über die Mechanik der Downloads von Seiten können in Ressourcen wie MDN konsultiert werden: MDN - Attribute herunterladen.

Verwenden Sie Isolations- und Ephemeralumgebungen für die Wirkstoffprüfung. Führen Sie Agenten auf virtuellen Maschinen oder Containern mit eingeschränktem Zugriff auf Anmeldeinformationen und ohne persistente Token aus und wenden Sie Netzwerksteuerungen an, die eine direkte Kommunikation auf unbefugte Server verhindern.

Um das Risiko der gesamten Paketlieferkette, der Regeln und der Minderung besser zu verstehen, ist es nützlich, die Arbeit der Community an Software-Lieferkettenangriffen und Verteidigungsstandards zu überprüfen: zum Beispiel das OWASP-Projekt zur Lieferkette. OWASP - Supply Chain Attack. Forever Security hat die technischen Details seiner Forschungs- und Konzepttests veröffentlicht; Teams, die interne Agenten und Richtlinien verwalten, müssen diese Berichte lesen und Telemetrie anpassen und Anleitungen entsprechend verwenden.

Die praktische Schlussfolgerung ist, dass es kurzfristig keine einzige "Patch" auf dem Teil des Modellanbieters gibt, wenn der Agent genau das tut, was entworfen wurde: folgen Sie lokalen Anweisungen. Die Steuerung ist die Hygiene von Ordnern, die Ausführungspolitik und die Rotation von Anmeldeinformationen. Diese Maßnahmen zu ergreifen reduziert direkt das Gelegenheitsfenster, dass diese schädlichen Unterrichtsdateien ausnutzen.