Un simplu fișier descărcat de pe internet poate transforma ChatGPT Codex și Claude Code în instrumente pentru hackeri. Cum funcționează noul atac

Potrivit unei investigații publicate de BleepingComputer, tehnica a fost identificată de compania de securitate Forever Security, după detectarea unei activități suspecte pe computerul unui client. Cercetătorii au reprodus ulterior atacul împotriva OpenAI Codex și au demonstrat o metodă similară care vizează Claude Code, instrumentul de programare dezvoltat de Anthropic. Rezultatele arată că un atacator poate exploata modul în care agenții AI interpretează instrucțiunile din fișierele locale.

Cum poate un fișier text să preia controlul unui agent AI

Atacul pornește de la un fișier numit AGENTS.md, utilizat în mod legitim pentru a transmite instrucțiuni agenților AI care lucrează la proiecte software. Acesta poate conține reguli despre structura codului, instrumentele necesare, comenzile pentru testarea aplicațiilor sau alte detalii importante pentru dezvoltatori.

Problema apare atunci când un astfel de document conține instrucțiuni introduse de un atacator. Deși fișierul este doar un document text și nu poate executa singur programe, agentul AI îl poate interpreta drept o sursă legitimă de indicații.

În cazul descoperit de Forever Security, un fișier AGENTS.md aflat în folderul Downloads al unui client a determinat un agent AI să încerce instalarea unui pachet npm malițios, denumit function-color. Activitatea a fost detectată și blocată înainte ca programul periculos să fie executat.

Cercetătorii nu au putut stabili cu certitudine cum ajunsese documentul pe computerul respectiv. Totuși, au demonstrat că o pagină web poate declanșa descărcarea unui asemenea fișier, iar acesta poate ajunge în folderul Downloads fără ca utilizatorul să confirme individual salvarea lui, în funcție de browser și de setările acestuia.

Pericolul apare atunci când utilizatorul pornește ulterior agentul AI chiar din acel director. Instrumentul poate identifica automat fișierul și poate interpreta instrucțiunile malițioase ca parte a configurației normale a proiectului.

Tehnica se încadrează în categoria atacurilor de tip prompt injection, despre care Playtech a explicat anterior că pot transforma documentele obișnuite în instrumente de manipulare a agenților AI.

Testele au arătat că OpenAI Codex și Claude Code pot fi manipulate

Pentru a verifica gravitatea descoperirii, cercetătorii Forever Security au construit scenarii de testare care reproduceau comportamentul observat în incidentul real.

În cazul OpenAI Codex, atacul a avut o rată de succes de peste 90% în condițiile testate. În majoritatea experimentelor a fost folosit un program inofensiv, care deschidea aplicația Calculator, pentru a demonstra că agentul poate fi determinat să execute o comandă nedorită.

Echipa a testat și pachetul malițios real, însă exclusiv într-o mașină virtuală izolată, pentru a evita compromiterea unui sistem de producție.

O parte importantă a atacului consta în convingerea agentului să modifice propriile fișiere de configurare. În scenariul analizat, instrucțiunile erau prezentate drept operațiuni obișnuite de pregătire a mediului de dezvoltare, deși scopul real era instalarea unui program controlat de atacator și ocolirea unor mecanisme de protecție.

Experimentul desfășurat împotriva Claude Code a folosit o strategie diferită. Cercetătorii au creat un fișier CLAUDE.md care încerca să determine agentul să redirecționeze comunicarea cu serverele Anthropic către o infrastructură controlată de ei.

În aproximativ 50% dintre testele raportate, metoda a reușit să producă modificarea necesară pentru expunerea tokenului OAuth utilizat la autentificare. Cercetătorii au demonstrat că acest lucru putea permite impersonarea utilizatorului și transmiterea unor comenzi suplimentare către agent.

Rezultatele nu înseamnă că toate instalările Codex sau Claude Code pot fi compromise automat. Succesul depinde de configurație, de permisiuni și de comportamentul agentului. Totuși, experimentele confirmă existența unui risc real.

Descoperirea completează alte avertismente privind securitatea instrumentelor AI pentru programare. Recent, Playtech a relatat despre programe malițioase distribuite prin pachete npm, capabile să folosească instrumentele dezvoltatorilor împotriva acestora.

De ce folderul Downloads este periculos și cum poate fi prevenit atacul

Particularitatea acestei metode este că nu necesită compromiterea directă a modelului AI. Atacatorul încearcă să introducă instrucțiuni într-un loc în care agentul este programat să caute informații despre sarcina pe care trebuie să o execute.

Folderul Downloads reprezintă un punct vulnerabil deoarece aici ajung frecvent documente provenite din surse necunoscute. În același timp, unii utilizatori pornesc agenți AI din acest director pentru a organiza fișiere, analiza documente sau prelucra materiale descărcate de pe internet.

Cercetătorul Gal Weizman a explicat pentru BleepingComputer că datele interne Forever Security arată numeroase sesiuni în care instrumente precum Codex, Claude Code și Cursor CLI au fost lansate din Downloads. Numai pentru Claude Code au fost identificate peste 1.300 de sesiuni desfășurate din această locație.

Pentru reducerea riscului, specialiștii recomandă câteva măsuri practice:

• Pornește agenții AI din directorul proiectului la care lucrezi, nu din Downloads sau din alte foldere generale.

• Verifică fișierele necunoscute numite AGENTS.md, CLAUDE.md sau alte documente care conțin instrucțiuni pentru agenți.

• Păstrează active mecanismele de confirmare a comenzilor și protecțiile de tip sandbox.

• Nu permite unui agent să instaleze automat pachete sau să modifice configurații de securitate fără verificarea provenienței instrucțiunilor.

• Dacă identifici o modificare suspectă a setărilor sau o posibilă expunere a tokenurilor de autentificare, revocă acreditările afectate și investighează sistemul.

Riscul devine cu atât mai important cu cât instrumentele AI primesc acces la tot mai multe aplicații și resurse. Playtech a analizat și motivele pentru care asistenții precum Claude Code, Cursor și Codex pot genera comportamente asemănătoare atacurilor informatice, chiar și atunci când execută sarcini legitime.

Cercetătorii subliniază că problema nu provine neapărat dintr-o vulnerabilitate clasică a aplicațiilor OpenAI sau Anthropic. Agenții interpretează fișierele de instrucțiuni tocmai pentru că au fost proiectați să facă acest lucru. Vulnerabilitatea apare atunci când documentele provenite din surse nesigure ajung să fie tratate ca instrucțiuni de încredere.

Într-o perioadă în care agenții AI devin tot mai autonomi și pot executa operațiuni complexe, această descoperire evidențiază o provocare majoră pentru securitatea informatică: protejarea sistemelor nu mai înseamnă doar împiedicarea utilizatorilor să ruleze programe periculoase, ci și controlarea instrucțiunilor pe care inteligența artificială le poate interpreta și executa în numele lor.