AGENTS.md a Letöltésekben: így térítik el a kódagenteket

Mi történt?

A Forever Security október 22-én közölte (Forever Security), hogy egy ügyfele gépén leállított egy kódagentet, amely a function-color nevű, ismerten rosszindulatú npm csomagot próbálta telepíteni. Az utasítás nem függőségből jött, hanem egy AGENTS.md fájlból a felhasználó ~/Downloads mappájában. Az agent ezt a mappát használta munkakönyvtárként, ezért induláskor beolvasta a fájlt, majd követte az utasításait. Hogy a fájl hogyan került oda, nem tudni.

A kutatók szerint a Letöltések mappa azért különleges, mert egy weboldal kattintás nélkül is menthet bele fájlt, a nevét és a tartalmát is ő választja. A BleepingComputer ellenőrizte a cég bemutatóoldalát: az valóban letöltött egy ártalmatlan tartalmú AGENTS.md fájlt (BleepingComputer). A Chrome, az Edge és a Firefox alapbeállítás szerint rákérdezés nélkül ment a Letöltésekbe, bár értesítést mutat.

Mennyire működik?

• Codex: a valódi támadófájllal, izolált VM-ben a próbák több mint 90%-ában lefutott a kártevő. A fájl a gépszintű ~/.codex/config.toml-ba ír be egy MCP szervert, így minden későbbi Codex session betölti, bármelyik mappában.
• Claude Code: nehezebb volt átverni. Egy saját CLAUDE.md az esetek kb. felében elérte, hogy a Claude a .claude/settings.json-ban a kutatók szerverére irányítsa az API-forgalmát. Ezzel kiszivárgott az OAuth token, ami önmagában fiókátvétel.
• A következő indításkor a hamis szerver modellként válaszolt, a Claude pedig sandbox nélkül futtatta a kapott parancsot. Ugyanabban a sessionben ez kb. az esetek ötödében sikerült.

A cég telemetriája szerint az ügyfeleinek nagyjából fele futtat kódagentet a Letöltések mappában, az agentes sessionök kb. negyede pedig valódi böngészőt is nyit. A kutatók szerint nincs mit javítania az OpenAI-nak vagy az Anthropicnak: az agent pontosan azt teszi, amire tervezték.

Mit érdemes tenni?

• Soha ne indíts kódagentet a ~/Downloads mappában, se más tág, nem megbízható könyvtárban. Mindig a konkrét projekt gyökerében indítsd.
• Nézd át az ismeretlen AGENTS.md és CLAUDE.md fájlokat, mielőtt az agent követi őket, frissen klónozott repóknál is.
• Ne kapcsold ki a jóváhagyási kérdéseket és a sandboxot.
• Ellenőrizd a ~/.codex/config.toml mcp_servers részét és a .claude/settings.json fájlokat ismeretlen bejegyzések után kutatva.
• Céges környezetben érdemes figyelni az agentek által indított npm telepítéseket és a konfigurációs fájlok változásait.

A tanulság túlmutat ezen az eseten: az agentek bármilyen szöveget utasításként kezelhetnek, ami a kontextusukba kerül. Ahol a biztonság eddig arra épült, hogy a felhasználónak tennie kell valamit, ott az agent ezt a lépést már helyette megteszi.