ВАШ ИИ-КОДЕР найдет вредоносный AGENTS.md в загрузках.
Новая вид атаки на ИИ агентов слышали ?
Сайт тихо скидывает в папку загрузок инструкцию AGENTS.md. Вы запускаете агента «разобрать скачанное», и он сам ставит вредоносный пакет. Патчить нечего: так агенты и устроены.
Для тех, кто в танке
- AGENTS.md / CLAUDE.md : обычный текстовый файл с правилами для ИИ-агента: как писать код, какие команды запускать, куда ходить. Агент читает его в папке, где его запустили, и выполняет как приказы хозяина.
- ИИ-кодер (Codex, Claude Code, Cursor CLI) : агент, который сам правит файлы, ставит пакеты и запускает команды на вашем компьютере.
- Downloads : папка загрузок. Именно туда браузер кладёт файлы с сайтов, часто без отдельного спроса.
- Prompt injection : когда вредоносный текст заставляет агента слушаться не вас, а злоумышленника.
Что уже случилось
Компания Forever Security поймала атаку на реальном компьютере клиента. В папке ~/Downloads лежал файл AGENTS.md под видом скучных «инженерных гайдлайнов». В конце, будто обычная настройка проекта, агенту велели:
- Дописать сервер в свой конфиг ~/.codex/config.toml.
- Поставить с npm пакет function-color.
- Для «проверки сети» запустить себя же с флагом обхода песочницы.
Пакет function-color уже известен отдельно: через него тянут загрузчик function-flag, а тот уже Windows-вредонос. Кампанию исследователи CloudSEK и Checkmarx назвали MALFEX. Forever остановила установку до запуска кода.
Как файл попал в Downloads у клиента, точно не доказали. Но путь уже воспроизвели: страница в браузере может сама положить AGENTS.md в загрузки. BleepingComputer проверил демо: файл скачался без лишних кликов. В Chrome, Edge и Firefox загрузки по умолчанию идут именно в Downloads.
Почему это работает
По отдельности всё «нормально»:
- Агент обязан читать AGENTS.md в рабочей папке. Так он и задуман.
- Браузер умеет писать в Downloads. Так устроен веб.
Вместе получается атака без вируса-исполняемого файла. Markdown становится новым исполняемым. Forever прямо пишет: патчить OpenAI или Anthropic нечего. Агент, который слушается файл в своей папке, работает как надо. Ломается доверие: папку, куда пишет интернет, агент принимает за ваши правила.
И это не редкость. По телеметрии Forever около половины клиентов хоть раз запускают агента из Downloads. Только Claude Code открыл оттуда больше 1 300 сессий. Люди просят агента «разложить скачанное» или «посмотреть этот архив», и агент читает всё, что лежит рядом.
Тесты: Codex и Claude Code
Исследователи прогнали реальный вредоносный файл на Codex в изолированной ВМ.
АгентЧто делает вредоносный файлУспех в тестахЧем опасно дальшеOpenAI CodexСтавит malware и правит~/.codex/config.tomlбольше 90%Конфиг общий на всю машину: яд остаётся в любом проектеClaude CodeЧерезCLAUDE.mdпишет чужойANTHROPIC_BASE_URLоколо 50%Утекает OAuth-токен, сервер отвечает «как модель» и шлёт команды
У Claude чаще нужен клик «разрешить», и модель иногда отказывается. Длинный «инженерный» текст повышает шанс, что человек подтвердит опасную запись.
Ещё одна опасность: человек вышел, яд остался
Самое противное у Codex. Правка идёт не в папку Downloads, а в домашний конфиг агента. Вы закрыли папку загрузок, открыли рабочий репозиторий, а агент уже стартует с сервером злоумышленника. Один раз попал, работает везде.
У Claude украденный токен это уже живая сессия: не один перехваченный запрос, а доступ от вашего имени, пока токен не сменят.
Что делать уже сегодня
- Не запускайте агента из Downloads. Рабочая папка только корень нужного проекта.
- Ищите чужие AGENTS.md и CLAUDE.md. В Downloads, в только что клонированном репозитории, в архиве с «примерами». Прочитайте сами, потом пускайте агента.
- Проверьте конфиги. В ~/.codex/config.toml лишние [mcp_servers.*] или чужой base URL. В .claude/settings.json чужой ANTHROPIC_BASE_URL или прокси.
- Не выключайте песочницу и подтверждения. Всё, что просит «dangerously-bypass» или отключить sandbox, считайте красным флагом.
- Нашли подозрительный файл: считайте токен скомпрометированным. Смените его. Пакет function-color на машине = машину считайте заражённой.
Итог
Раньше вредоносный код надо было скачать и запустить. Теперь достаточно, чтобы браузер положил текст с правилами, а ваш ИИ-кодер сам всё сделал. Агенты растут быстрее, чем привычки безопасности: Downloads всё ещё «просто папка», а для агента это уже командный пункт.
Проверьте прямо сейчас: нет ли в Downloads файла AGENTS.md или CLAUDE.md, который вы не писали. Если есть, не открывайте там агента, пока не прочитаете файл глазами.
Источники: Forever Security (отчёт 22.10.2026), BleepingComputer (25.10.2026), The Hacker News (26.10.2026), CloudSEK / Checkmarx по кампании MALFEX.