Хакеры могут получить контроль над Codex и Claude Code с помощью вредоносных файлов в папке "Загрузки". Обычный текстовый файл, помещённый в папку "Загрузки", способен заставить ИИ-агентов изменить собственные настройки, установить вредоносное ПО или раскрыть токены авторизации пользователя. История началась с того, что система защиты Forever Security заблокировала попытку ИИ-агента установить npm-пакет function-color, распространяющий вредоносное ПО. В ходе расследования специалисты выяснили, что команда на установку поступила из файла AGENTS.md, находившегося в папке ~/Downloads на компьютере клиента. «Это не обычное вредоносное ПО, — пишут исследователи компании Гал Вайцман и Омер Самет. — AGENTS.md - это файл, которому агент по самой своей природе должен доверять и инструкции которого обязан выполнять. А ~/Downloads - единственная папка, в которую веб-сайт может поместить файл без единого щелчка мышью и без разрешения пользователя. Вместе эти особенности позволяют веб-сайту незаметно подбрасывать команды, которые затем выполняет ваш собственный агент. Markdown становится новым исполняемым кодом». Исследователи решили воспроизвести атаку на OpenAI Codex и Claude Code от Anthropic.: - Codex выполнял вредоносные инструкции более чем в 90% испытаний. - Claude Code поддавался атаке примерно в 50% случаев. По мнению исследователей, "OpenAI и Anthropic здесь нечего исправлять". Агент, выполняющий инструкции из файла в рабочей директории, действует именно так, как был задуман. Подобно тому как браузер, отображающий фишинговую страницу, технически выполняет свою функцию. Они рекомендуют не запускать ИИ-агентов для разработки в папке "Загрузки" и внимательно изучать любые файлы AGENTS.md или CLAUDE.md, которые пользователь не создавал самостоятельно, прежде чем предоставлять агенту доступ к соответствующей директории. Это касается и репозиториев, которые разработчик только что скопировал на свой компьютер. Если вы когда-либо запускали Codex / Claude из папки "Загрузки", стоит проверить свои конфиг-файлы на наличие неизвестных серверов и ссылок. https://forever.security/blog/hijacking-ai-agents-via-downloads-folder/