Поучительная история.
Парень в твиттере поделился, как попросил Клода посоветовать приложение для расшифровки аудио. Получил ссылку и команду установки, вставил в терминал. Через минуту с машины уехали пароли, куки и ключи от крипто-кошельков.
Сайт оказался клоном настоящей платформы. Само по себе это древняя история, фишинг и трояны не новость, конечно.
Автор снес систему, поставил заново, накатил бэкап рабочих файлов. Вместе с бэкапом вернулся тот же SKILL.md, замаскированный под его же скилл по стилю письма. Внутри лежала инструкция агенту снова скачать троян еще раз и слить учетки при следующем запуске сессии.
Зараза пережила переустановку системы. Она сидела в конфиге агента, и этот конфиг автор бережно забэкапил своими руками.
Скилы, MCP-серверы, правила для агента, любые markdown-файлы, которые агент читает перед работой, это исполняемый код. Мы привыкли считать кодом .py и .js. Текстовый файл выглядит безобидно, но для агента он и есть команда.
Что делать:
- команды не отправлять в терминал не глядя, ссылку на скачивание проверять руками через поиск
- чужие скилы и MCP читать перед установкой целиком, там редко больше страницы, проверять на доверие к автору, а лучше - делайте свои скиллы и не юзайте чужие
- раз в месяц проходитесь по своей папке скилов и смотрите, что там вообще лежит
- зафиксируйте в правилах у агента все рекомендации по безопасности и запреты на скачивание и установку сторонних штук без аппрува
Друзья, а вы открывали файлы скилов, которые себе поставили?