عوامل کدنویسی هوش مصنوعی با استفاده از فایل AGENTS.md در پوشه دانلودها ربوده شدند

محققان یک فایل دستورالعمل علامت گذاری مخرب AGENTS را در پوشه دانلودهای مشتری پیدا کردند که یک عامل کدنویسی هوش مصنوعی را فریب داد تا یک بسته npm سرکش را نصب کند.

آنها حمله به OpenAI Codex را بازتولید کردند و تکنیک مرتبطی را علیه Claude Code نشان دادند تا توکن‌های OAuth را درز کند و حساب را تنها با استفاده از دستورالعمل‌های مخرب ربوده شود.

فایل‌های Markdown مانند AGENTS.md فایل‌های متنی ساده‌ای هستند که حاوی دستورالعمل‌های خاص پروژه برای عامل‌های کدنویسی هوش مصنوعی، مانند ابزارهای مورد استفاده، نحوه اجرای آزمایش‌ها و قراردادهای کدنویسی هستند.

محققان در Forever Security، شرکتی که ریسک‌های معرفی‌شده توسط عوامل هوش مصنوعی و نرم‌افزارهای مستقل را رصد می‌کند، این تاکتیک را در رایانه مشتری کشف کردند، جایی که یک عامل کدنویس سعی کرد بسته مخرب npm "function-color" را نصب کند.

تحقیقات تلاش عامل هوش مصنوعی برای نصب یک بسته npm مخرب را در یک فایل AGENTS.md در پوشه ~/Downloads مشتری، که به عنوان دایرکتوری کاری عامل نیز عمل می کرد، ردیابی کرد.

عوامل به طور خودکار فایل های قابل اجرا را از فهرست کاری خود بارگیری می کنند و از دستورالعمل های موجود برای هدایت اقدامات خود استفاده می کنند.

در حالی که این فایل‌ها قابل اجرا نیستند، دستورالعمل‌های مخرب موجود در آن‌ها می‌تواند منجر به اجرای دستورات، نصب بسته‌ها یا تغییر تنظیمات با استفاده از ابزارها و مجوزهای موجود توسط عوامل هوش مصنوعی شود.

محققان می گویند: "در اینجا چیزی برای وصله OpenAI یا Anthropic وجود ندارد. عاملی که AGENTS.md را در پوشه خود دنبال می کند دقیقا همان کاری را انجام می دهد که برای انجام آن ساخته شده است."

آزمایش محققان تأیید کرد که یک مهاجم می تواند از چنین فایلی برای دستکاری OpenAI Codex و Claude Code برای اجرای کد یا سرقت اعتبار استفاده کند.

اگرچه محققان نتوانستند نحوه ورود فایل دستورالعمل های مخرب به مکان ~/Downloads هدف را تعیین کنند، اما به BleepingComputer توضیح دادند که صرفا بازدید از یک صفحه مخرب می تواند یک بار بدون هیچ گونه تعامل کاربر را رها کند.

در گزارشی که این هفته منتشر شد، Forever Security می‌گوید که "~/Downloads ویژه است. این یک پوشه است که وب می‌تواند به تنهایی در آن بنویسد" و "یک صفحه وب می‌تواند فایلی به نام AGENTS.md را در پوشه دانلودهای شما، بی‌صدا دانلود کند."

محققان یک اثبات مفهوم (PoC) ایجاد کردند تا نشان دهند که چگونه حمله می تواند یک فایل مخرب را بدون اینکه کاربر متوجه شود در مکان ~/Downloads قرار دهد.

وقتی BleepingComputer صفحه PoC را تأیید کرد، یک فایل AGENTS.md حاوی محتوای بی‌ضرر، یعنی رشته‌های «داده‌های حساس اینجا» و «خط 2» را دانلود کرد.

به‌طور پیش‌فرض، بسیاری از مرورگرهای محبوب، از جمله Chrome، Edge، و Firefox، فایل‌های دانلود شده از وب را در فهرست راهنمای ~/Downloads کاربر ذخیره می‌کنند بدون اینکه از او خواسته شود برای هر بارگیری مکان ذخیره‌سازی را انتخاب کند.

آزمایش‌های BleepingComputer در سایر مرورگرها، مانند Brave، کاربر را بر آن داشت که دانلود را تأیید کند، که باید برای هشدار به کاربر در مورد دانلود فایل کافی باشد.

با این حال، کروم، اج و فایرفاکس به طور پیش‌فرض اعلان‌های دانلود را نمایش می‌دهند و به کاربران هشدار می‌دهند که فایلی به صورت محلی ذخیره شده باشد.

پس از انداختن فایل در دانلودها، حمله به هدف نیاز دارد تا عامل هوش مصنوعی خود را در همان فهرست راه اندازی کند تا بتواند فایل دستورالعمل را بارگیری کند و دستورالعمل های مخرب آن را هضم کند.

محقق Forever، Gal Weizman به BleepingComputer گفت که این یک روش معمول است، زیرا مردم اغلب از عوامل هوش مصنوعی برای سازماندهی آن پوشه یا عمل کردن بر روی یک فایل تازه دانلود شده استفاده می کنند.

ویزمن می‌گوید که آمارهای داخلی نشان می‌دهد که صدها مشتری عوامل هوش مصنوعی، از جمله Claude Code، OpenAI Codex و Cursor CLI را از پوشه‌های ~/Downloads خود اجرا می‌کنند. این محقق به BleepingComputer گفت که Claude Code به تنهایی بیش از 1300 جلسه را از آن مکان راه اندازی کرد.

محققان زنجیره حمله بازسازی شده خود را در برابر Codex با استفاده از یک بار بی ضرر که به سادگی برنامه ماشین حساب را باز می کرد، آزمایش کردند و نرخ موفقیت 90٪ را ثبت کردند.

در یک آزمایش جداگانه، آنها از یک فایل مخرب CLAUDE.md برای هدایت ترافیک API Claude Code به سروری که تحت کنترل خود بودند استفاده کردند. این توکن OAuth عامل را فاش کرد، و به سرور اجازه داد مدل را جعل کند و فراخوانی‌های ابزاری را که کد را در تقریبا 50 درصد آزمایش‌ها اجرا می‌کرد، برگرداند.

محققان می گویند که این خطر ترکیبی از رفتار مورد نظر مرورگر و عامل است که مسئولیت احتیاط و دفاع را مستقیما بر عهده کاربر می گذارد.

کاربران باید از تنظیم ~/Downloads به عنوان دایرکتوری کاری عامل کدنویسی هوش مصنوعی خودداری کنند زیرا مکان ممکن است حاوی فایل‌های غیرقابل اعتمادی باشد که عامل می‌تواند آن‌ها را به عنوان دستورالعمل تفسیر کند.

OpenAI و Anthropic توصیه می کنند عوامل کدنویسی هوش مصنوعی خود را از دایرکتوری پروژه ای که قرار است روی آن کار کنند اجرا کنند.

نگه داشتن دایرکتوری کاری در محدوده پروژه مربوطه کمک می کند تا عامل با زمینه مناسب فراهم شود و دامنه کاری آن محدود شود و خطر پردازش فایل های نامعتبر در مکان های نامرتبط کاهش یابد.

توصیه مشترک OpenAI و Anthropic این است که یک عامل کدنویسی هوش مصنوعی را در ریشه پروژه خاصی که باید روی آن کار کند، راه اندازی کنید، نه در فهرست اصلی یا دایرکتوری گسترده والدین. منطقه کاری آن را تا حد عملی باریک نگه دارید و فقط در صورت نیاز دسترسی را گسترش دهید.

ایده اصلی این است که دایرکتوری کاری، زمینه پروژه پیش‌فرض عامل را تعریف می‌کند و بسته به ابزار، به ایجاد مرز دسترسی به سیستم فایل آن کمک می‌کند.

کاربران باید فایل‌های دستورالعمل‌های ناآشنا AGENTS.md، CLAUDE.md و مشابه را قبل از اینکه به عامل کدنویسی هوش مصنوعی اجازه دهند آنها را دنبال کند، بررسی کنند، اعلان‌های تایید و محافظت‌های جعبه ایمنی را فعال نگه دارند، و کدهای غیرقابل اعتماد بالقوه را در یک محیط ایزوله قبل از اجرای آن در سیستم اصلی خود آزمایش کنند.

نمرات کلی پیشگیری می تواند آنچه را که پس از دسترسی اولیه اتفاق می افتد پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

Anthropic کلود را به یک بازار هوش مصنوعی با بیش از 2000 پلاگین و رابط تبدیل می کند

Claude Opus 5.5 95% کمتر از خطوط em استفاده می کند، اما پاسخ های آن طولانی تر می شود

آنتروپیک محدودیت های هفتگی فعلی کلود کد را 17 درصد کاهش می دهد.

عوامل OpenAI نظارت بر ایمنی را غیرفعال کردند، یکی در مورد آن دروغ گفت