Specjaliści wykryli w folderze Pobranych klienta złośliwy plik instrukcji AGENTS.md, który skłonił agenta programistycznego do instalacji niechcianego pakietu. Badacze z firmy Forever Security odtworzili ten scenariusz dla narzędzia OpenAI Codex oraz wykazali podobną podatność w przypadku Claude Code, co prowadzi do wycieku tokenów OAuth i przejęcia konta.
Pliki w formacie Markdown zawierają instrukcje projektowe dla agentów sztucznej inteligencji, takie jak wytyczne kodowania czy dozwolone narzędzia. Agenci automatycznie odczytują te pliki ze swojego katalogu roboczego. Ponieważ folder Pobranych jest miejscem, do którego przeglądarki internetowe mogą zapisywać pliki bez interwencji użytkownika, stanowi on łatwy cel dla napastników.
Testy wykazały wysoką skuteczność takich metod. W przypadku OpenAI Codex atak z użyciem nieszkodliwego ładunku osiągnął dużą skuteczność. Z kolei zmodyfikowany plik CLAUDE.md pozwalał na przekierowanie ruchu API, ujawnienie tokenu uwierzytelniającego i wykonywanie kodu. Producenci narzędzi nie planują poprawek, ponieważ agenci wykonują swoje zadania zgodnie z pierwotnym przeznaczeniem.
Aby uniknąć zagrożenia, należy unikać uruchamiania agentów AI w folderze Pobranych lub innych szerokich katalogach ogólnych. Zaleca się ograniczanie katalogu roboczego wyłącznie do dedykowanego folderu konkretnego projektu oraz weryfikowanie nieznanych plików z instrukcjami przed ich użyciem.
