Ataki na agenty AI przez pliki AGENTS.md

Wyobraź sobie, że uruchamiasz swojego asystenta AI w folderze Pobrane, aby uporządkował świeżo ściągnięte pliki. Nie wiesz, że jeden z nich zawiera instrukcje, które zmuszą agenta do instalacji złośliwego pakietu. Brzmi jak scenariusz filmu science fiction? Niestety, to realne zagrożenie, które potwierdzili badacze z firmy Forever Security.

Specjaliści odkryli nową technikę ataku na agenty kodujące oparte na sztucznej inteligencji. Wykorzystuje ona prosty plik tekstowy w formacie Markdown, który agenci traktują jako zestaw wytycznych do działania. Wyniki badań pokazują, że luka nie tkwi w samych modelach AI, lecz w sposobie, w jaki interpretują one swoją przestrzeń roboczą.

Jak działa mechanizm ataku przez pliki instrukcji

Pliki takie jak AGENTS.md czy CLAUDE.md to dokumenty tekstowe zawierające wytyczne dla agentów AI. Określają one, jakich narzędzi używać, jakie konwencje kodowania stosować i jak uruchamiać testy. Agenci automatycznie wczytują je z katalogu roboczego i postępują zgodnie z zawartymi w nich poleceniami.

Problem polega na tym, że przestępca może umieścić w takim pliku własne, szkodliwe instrukcje. Choć plik nie jest programem wykonywalnym, agent AI może na jego podstawie uruchamiać komendy, instalować pakiety czy modyfikować ustawienia — wszystko w granicach uprawnień, jakie posiada.

Szczególna rola folderu Pobrane

Kluczowym elementem ataku jest lokalizacja pliku. Badacze zwracają uwagę, że katalog Pobrane ma wyjątkowy status — to jedyne miejsce, do którego przeglądarka internetowa może zapisywać pliki samodzielnie, bez pytania użytkownika o zgodę. Wystarczy odwiedzenie złośliwej strony, by plik AGENTS.md trafił na dysk bez żadnej interakcji ze strony ofiary.

Następnie atakujący potrzebuje jedynie, by użytkownik uruchomił agenta AI właśnie w tym folderze. Jak podkreśla badacz Gal Weizman z Forever Security, to częsta praktyka — ludzie często proszą asystentów o uporządkowanie pobranych plików lub przetworzenie nowo ściągniętego dokumentu. Wewnętrzne statystyki firmy pokazują, że setki klientów uruchamia narzędzia takie jak Claude Code, OpenAI Codex czy Cursor CLI bezpośrednio z katalogu Pobrane. Sam Claude Code odnotował ponad 1300 sesji zainicjowanych z tego miejsca.

Skuteczność ataku w testach laboratoryjnych

Badacze nie poprzestali na teorii. Odtworzyli pełny łańcuch ataku i przetestowali go na dwóch popularnych narzędziach. W przypadku OpenAI Codex użyli nieszkodliwego ładunku, który jedynie otwierał kalkulator. Skuteczność wyniosła 90 procent.

Osobny eksperyment dotyczył Claude Code. Tym razem złośliwy plik CLAUDE.md przekierował ruch API agenta na serwer kontrolowany przez badaczy. Ujawniło to token OAuth, co pozwoliło serwerowi podszyć się pod model i zwracać polecenia wykonujące kod. Ten wariant zakończył się sukcesem w około połowie prób.

„Nie ma tu nic, co OpenAI czy Anthropic mogłyby załatać. Agent, który postępuje zgodnie z plikiem AGENTS.md w swoim folderze, robi dokładnie to, do czego został stworzony” — twierdzą badacze z Forever Security.

To kluczowa obserwacja. Problem nie wynika z błędu w oprogramowaniu, który można naprawić aktualizacją. Wynika z kombinacji zamierzonego działania przeglądarek i agentów AI. Odpowiedzialność za bezpieczeństwo spada więc na użytkownika.

Jak chronić się przed przejęciem agenta AI

Zalecenia ekspertów są proste, ale wymagają konsekwencji. Przede wszystkim należy unikać uruchamiania agentów kodujących w katalogu Pobrane. To miejsce, w którym mogą znajdować się niezaufane pliki, a agent zinterpretuje je jako instrukcje do wykonania.

Uruchamiaj agenta w katalogu projektu

Zarówno OpenAI, jak i Anthropic zalecają startowanie agenta w katalogu głównym konkretnego projektu, nad którym ma pracować. Wąski zakres roboczy zapewnia odpowiedni kontekst i ogranicza pole działania. Nie należy uruchamiać narzędzi w katalogu domowym ani w szerokim katalogu nadrzędnym. Zakres warto rozszerzać tylko wtedy, gdy jest to naprawdę konieczne.

Weryfikuj pliki instrukcji i utrzymuj zabezpieczenia

Przed zezwoleniem agentowi na wykonanie poleceń z nieznanego pliku AGENTS.md, CLAUDE.md lub podobnego, warto go przejrzeć. Należy też pozostawić włączone monity zatwierdzające i mechanizmy piaskownicy. Potencjalnie niebezpieczny kod najlepiej testować w izolowanym środowisku, zanim trafi na główny system.

Warto zauważyć, że część przeglądarek — jak Brave — domyślnie pyta użytkownika o zgodę na pobranie pliku. To dodatkowa warstwa ochrony, której brakuje w Chrome, Edge i Firefoksie, gdzie pliki trafiają do katalogu Pobrane automatycznie, a jedynym sygnałem jest powiadomienie o pobraniu.

Co to oznacza dla przyszłości agentów AI

Odkrycie Forever Security rzuca światło na szerszy problem. Agenci AI stają się coraz potężniejsi — potrafią instalować pakiety, modyfikować konfiguracje i wykonywać kod. Im większe możliwości, tym większe ryzyko, gdy trafią na złośliwe instrukcje. Mechanizm ataku nie wymaga bowiem zaawansowanej wiedzy technicznej ani exploitów. Wystarczy znajomość sposobu działania agentów i odrobina kreatywności.

Badacze podkreślają, że nie chodzi o pojedynczą podatność do załatania. To strukturalna cecha ekosystemu, w którym przeglądarki zapisują pliki bez pytania, a agenci bezrefleksyjnie wykonują polecenia z katalogu roboczego. Dopóki te dwa zachowania się spotykają, dopóty pole do nadużyć pozostaje otwarte. Świadomość zagrożenia i ostrożność w codziennej pracy z narzędziami AI to na razie najlepsza linia obrony.