Forever Security détecte AGENTS.md sur Télécharger qui essaie d'installer le paquet couleur fonction npm

La société de sécurité Forever Security a signalé la détection d'une tentative d'engagement sur l'équipe d'un client : un fichier texte appelé AGENTS.md, placé dans le dossier de téléchargement, a essayé de demander à un agent de programmation d'installer un paquet npm malveillant. Toujours prétend qu'il a arrêté l'exécution avant que le code ait été corrigé dans l'hôte et n'a pas pu confirmer comment ce fichier est arrivé dans le dossier Download. La découverte unit deux vecteurs connus - les fichiers d'instruction que les agents lisent lors de l'ouverture d'un dossier, et la capacité des pages Web à causer des téléchargements dans le dossier de téléchargement - dans un scénario d'attaque pratique que les chercheurs ont testé d'une manière reproductible dans le laboratoire.

Faits confirmés : Forever Security a trouvé dans l'équipe d'un client un AGENTS.md qui voulait que l'agent ajoute un serveur propre à sa configuration et exécute l'installation du paquet npm fonction-color. Des chercheurs externes (y compris CloudSEK et Checkmark) ont documenté que la fonction-color fait partie d'une campagne appelée MALFEX : ce paquet apporte comme dépendance un téléchargement appelé fonction-flag qui télécharge et exécute une charge utile pour Windows. Pour toujours reproduit la logique de l'attaque contre au moins deux agents (Codex et Claude Code) et a noté qu'il pouvait réaliser l'exécution ou l'exfiltration de jetons dans des conditions spécifiques. En outre, l'entreprise a fourni la télémétrie interne sur les pratiques d'utilisation: environ la moitié de ses clients dirigent un agent de Downloads et environ 25% des sessions d'agent ouvrent un navigateur, conditions qui facilitent ce vecteur.

Ce qui s'est passé techniquement. Beaucoup d'agents de programmation conçus pour aider à lire le code lorsque vous démarrez un fichier d'instructions dans le dossier de projet (dans des exemples spécifiques, AGENTS.md ou CLAUDE.md) et exécutez des étapes de configuration ou de commande. Pour toujours utilisé un fichier qui, camouflé comme notes d'ingénierie, a indiqué à l'agent d'ajouter une entrée de serveur dans un fichier de configuration persistant (par exemple, ~ / .codex / config.toml) et exécutez une commande pour installer le paquet fonction-color. En modifiant la configuration globale de l'agent pour cibler un serveur contrôlé par l'attaquant, l'opposant peut faire de futures sessions de l'agent consulter et exécuter des instructions arbitraires à partir de ce serveur. Dans le cas de Claude Code, la modification proposée était d'écrire une variable d'environnement ou un ajustement (ANTHROPIC _ BASE _ URL) qui redirige la communication API de l'agent vers le paramètre d'un attaquant; qui peut filtrer le jeton de session et permettre des réponses malveillantes que l'agent considère comme valides.

La façon dont le fichier malveillant est livré reste incertaine. Pour toujours met en évidence deux conditions qui rendent la technique possible: un agent qui fait confiance et obéit à un fichier d'instruction dans le dossier qu'il ouvre, et le fait que un site Web peut commencer les téléchargements dans le dossier de téléchargement sans intervention explicite de l'utilisateur dans les environnements de navigateur configurés par défaut. Pour démontrer la chaîne complète, les chercheurs ont publié un test de concept : un site Web qui, lors de sa visite, provoque le téléchargement silencieux d'un AGENTS. md sur Télécharger. Cela montre que l'itinéraire technique fonctionne; cependant, Forever n'a pas établi que cette méthode a été utilisée pour entrer le fichier dans l'ordinateur du client réel.

Impact réel et conséquences. Si l'agent exécute les étapes du fichier malveillant, les conséquences potentielles sont graves sur deux fronts: exécution de code malveillant sur la machine(par exemple, le téléchargement qui apporte une charge utile pour Windows) et l ' engagement des pouvoirs et des titres de session qui vous permettent de prendre le contrôle du compte de service (ce que les chercheurs qualifient de rachat de compte). Dans le cas de Codex, Forever a déclaré que l'agent avait exécuté le code dans plus de 90 % des tentatives; dans le cas de Claude Code, le taux était inférieur parce que l'agent avait demandé la confirmation de certains changements et que l'opération avait fait l'objet d'environ la moitié des tentatives lorsque le dossier avait été rédigé à titre de document technique exhaustif.

Ce qui est confirmé et ce qui ne l'est pas. Confirmé : le fichier AGENTS.md avec des instructions malveillantes existait sur l'ordinateur du client ; fonction-color et fonction-flag font partie d'une chaîne de livraison observée par d'autres chercheurs ; les agents peuvent obéir aux fichiers d'instruction locaux et modifier les paramètres persistants. Non confirmé: le vecteur exact par lequel le fichier a atteint l'équipe du client - Forever n'a pas déterminé s'il s'agissait d'un téléchargement silencieux induit par un site Web, un dépôt cloné ou une insertion locale - et ni un vrai attaquant n'a utilisé le test de concept de téléchargement automatique pour cet incident spécifique.

Recommandations pratiques et concrètes à l'intention des promoteurs et des équipements de sécurité: maintenir l'intervention humaine et l'isolement comme norme lors de l'exécution des agents.

Ne lancez pas d'agents à partir de ~ / Télécharger. C'est le dossier que le navigateur peut écrire sans interaction supplémentaire dans la plupart des paramètres ; l'utiliser comme répertoire de travail d'agent met le logiciel en contact avec le contenu qui peut avoir été placé par un site Web.

Avant d'autoriser un agent à ouvrir un dossier, consultez les fichiers d'instructions. Recherchez AGENTS.md, CLAUDE.md ou tout README contenant des étapes de configuration inattendues ; lisez-les avant de démarrer l'agent. Un fichier camouflé dans un nouveau dépôt cloné suffit pour gagner l'exécution.

Vérifiez les paramètres locaux. Vérifiez ~ / .codex / config.toml et des fichiers équivalents (.claude / settings.json ou autres) pour les blocs de serveur ou l'API URL qui n'ont pas explicitement ajouté; traitez tout changement non autorisé comme une indication de l'engagement et jetons rote et les identifiants associés.

Gardez les conseils d'approbation et les bacs à sable allumés. Ne pas désactiver les commandes interactives qui nécessitent une confirmation avant d'écrire des configurations globales ou d'exécuter des commandes d'installation. Si l'agent demande de lever des privilèges ou de changer de destination API, examinez-le attentivement.

Elle suppose qu'un jeton exposé est immédiatement valide. Si vous trouvez un fichier planté, roulez les jetons et fermez les sessions; un jeton volé est une session en direct et peut permettre des actions ultérieures, même si la première demande a été enregistrée et bloquée.

Réduire les risques du navigateur et du système d'exploitation. Définir le navigateur pour bloquer les téléchargements automatiques, changer le dossier de téléchargement par défaut à un emplacement moins utilisé pour exécuter le code et considérer les politiques d'entreprise qui interdisent les agents exécutants dans les répertoires que le navigateur peut manipuler. La documentation technique sur la mécanique des téléchargements à partir de pages peut être consultée dans des ressources telles que MDN: MDN - téléchargement d'attributs.

Utilisez l'isolation et les environnements éphémères pour tester les agents. Exécuter des agents sur des machines virtuelles ou des conteneurs avec un accès limité aux identifiants et sans jetons persistants, et appliquer des contrôles réseau qui empêchent les communications directes vers des serveurs non autorisés.

Pour mieux comprendre le risque de la chaîne d'approvisionnement globale, les règles et les mesures d'atténuation, il est utile d'examiner le travail de la collectivité sur les attaques de la chaîne d'approvisionnement logicielle et les normes de défense : par exemple, le projet OWASP sur la chaîne d'approvisionnement. OWASP - Attaque de la chaîne d'approvisionnement. Forever Security a publié les détails techniques de ses tests de recherche et de concept; les équipes qui gèrent les agents et les politiques internes doivent lire ces rapports et ajuster la télémétrie et utiliser des guides en conséquence.

La conclusion pratique est qu'à court terme il n'y a pas de "patch" unique de la part du fournisseur de modèle lorsque l'agent fait exactement ce qui a été conçu pour faire: suivre les instructions locales. Le contrôle est l'hygiène des dossiers, la politique d'exécution et la rotation des références. Prendre ces mesures réduit directement la fenêtre d'opportunité que ces fichiers d'instruction malveillant exploiter.