Вредоносный Markdown-файл может заставить ИИ-агента выполнить чужие команды. Даже если вы сами его не открывали.

Forever Security сообщила об атаке на компьютере клиента: агент прочитал подброшенный в папку Downloads файл `AGENTS.md` и попытался установить вредоносный npm-пакет. Защита остановила установку.

Схема использует привычную функцию coding-агентов: они читают файлы с инструкциями в рабочей папке. Если запустить агента в каталоге, куда попадают загрузки из браузера, чужой текст может быть принят за правила проекта.

Исследователи воспроизвели варианты атаки на Codex и Claude Code. По их данным, в тестовых условиях атаки срабатывали более чем в 90% попыток для Codex и примерно в 50% для Claude Code. Это результаты конкретных испытаний, а не вероятность взлома любого пользователя.

Последствия включали изменение конфигурации агента, запуск вредоносного кода и перенаправление API-запросов с утечкой токена.

Что проверить: не запускайте агентов в Downloads, просматривайте незнакомые AGENTS.md и CLAUDE.md, сохраняйте подтверждения действий и песочницу включёнными.

https://forever.security/blog/hijacking-ai-agents-via-downloads-folder