Claude Code og Codex adlyder en fil, som enhver hjemmeside kan lægge i din Overførsler-mappe

En tekstfil, som et website gemmer i mappen Downloads, kan nu give ordrer til AI-kodeagenten på din computer. Forskere hos Forever Security fandt en manipuleret AGENTS.md-fil på en kundes computer. Det er en almindelig tekstfil med instruktioner, som værktøjer som OpenAI’s Codex læser ved opstart, og i dette tilfælde havde den bedt agenten om at installere et kendt stykke malware. Hvis du nogensinde har åbnet Claude Code eller Codex i Downloads for at rydde op eller arbejde på en fil, du lige har hentet, har du givet mappen samme grad af tillid som et af dine egne projekter.

Agenten gjorde ikke noget forkert efter sine egne regler. AGENTS.md og dens pendant til Claude, CLAUDE.md, findes, så et projekt kan fortælle en agent, hvilke værktøjer den skal bruge, og hvordan den skal køre projektets tests. Agenten er bygget til at følge instruktionerne. Forskernes pointe er, at Downloads er den eneste mappe, som internettet selv kan fylde med filer. »Der er ikke noget her, OpenAI eller Anthropic kan rette med en programrettelse,« skriver de. »En agent, der følger AGENTS.md i sin mappe, gør præcis det, den er bygget til.«

Den rigtige fil var et dokument på 13 KB med ingeniørmæssige retningslinjer som titel. Angrebet var gemt tæt på slutningen og formuleret i den afdæmpede tone, man kender fra en opsætningsvejledning. Codex blev bedt om at føje en server til »projektværktøjer« til sin konfiguration og installere en npm-pakke ved navn function-color. Forskerne beskriver pakken som malware fra en kampagne, der gik ubemærket hen i omkring to år. Forevers software blokerede installationen, før nogen kode blev kørt. I teamets tests, som for det meste brugte en harmløs erstatning, der kun åbnede lommeregneren, fulgte Codex filens instruktioner i mere end 90 procent af forsøgene. Den rigtige pakke blev også kørt én gang i en isoleret virtuel maskine. Ændringen havner i Codex’ indstillingsfil for hele maskinen, så alle efterfølgende Codex-sessioner indlæser angriberens server, uanset hvilken mappe de startes fra.

Claude Code var sværere at narre. Teamet skrev sin egen CLAUDE.md-fil, der overtaler Claude til at sende sin API-trafik gennem en server, som angriberen kontrollerer, forklædt som en virksomheds gateway. Den ene indstilling overdrager Claudes login-token. Forskerne brugte tokenet igen mod Anthropics rigtige API for at optræde som offeret, og den falske server kan svare, som om den var modellen, og sende kommandoer tilbage med sandkassen slået fra. Claude beder et menneske om at godkende en indstillingsændring af den type og afviser den ofte, men ændringen gik alligevel igennem omtrent halvdelen af gangene.

Det kræver mindre, end man skulle tro, at få filen ind på en computer. Chrome, Edge og Firefox gemmer som standard downloads i den mappe uden at spørge, hvor de skal placeres, og en webside kan selv vælge filnavn og indhold. BleepingComputer, som rapporterede om fundene, besøgte forskernes proof-of-concept-side og så den lægge en harmløs AGENTS.md-fil i mappen. Brave bad først om tilladelse. Forever-forskeren Gal Weizman fortalte mediet, at hundredvis af virksomhedens kunder kører Claude Code, Codex eller Cursor’s kommandolinjeagent fra Downloads, og at Claude Code alene havde startet mere end 1.300 sessioner der.

Undersøgelsen efterlader nogle ubesvarede spørgsmål. Forever kunne ikke fastslå, hvordan den skadelige fil var havnet på kundens computer, og angrebet kræver stadig, at nogen efterfølgende starter en agent i den pågældende mappe. Chrome, Edge og Firefox viser ganske vist en besked om download, som en opmærksom bruger måske bemærker. Den rigtige nyttelast var skrevet til macOS. Forever sælger også overvågningssoftware til AI-agenter og har derfor en kommerciel interesse i den risiko, virksomheden beskriver, og rapporten indeholder ikke noget svar fra OpenAI eller Anthropic. De berørte værktøjer sælges over hele verden, så risikoen er den samme på alle markeder, hvor udviklere bruger dem.

Forsvaret handler først og fremmest om vaner. Start aldrig en kodeagent i Downloads, men kør den fra mappen med det projekt, den skal arbejde på – det er allerede OpenAI og Anthropics anbefaling. Læs enhver AGENTS.md- eller CLAUDE.md-fil, du ikke selv har skrevet, før en agent får adgang til den, og lad godkendelsesprompter og sandkasser være slået til. Se efter servere, du ikke selv har tilføjet, i Codex’ indstillingsfil. I et projekts Claude-indstillinger skal du kigge efter en API-adresse, du aldrig har angivet. Hvis du finder en, skal du betragte login-tokenet som stjålet og tilbagekalde det. Betragt også enhver computer, hvor function-color er blevet installeret, som kompromitteret. npm har siden fjernet pakken.

Forever offentliggjorde sin rapport den 22. oktober, og BleepingComputer fulgte op med sin dækning den 25. oktober. Forskerne siger, at enhver agent, der læser en instruktionsfil og kan ændre sin egen konfiguration, kan styres på samme måde. Det gør Codex og Claude Code til de to første navne på en længere liste. En download fra en browser plejede at være harmløs, indtil nogen åbnede den. Nu åbner filen sig selv, i det øjeblik en agent begynder at læse mappen.

Tags: OpenAI, cybersikkerhed, Anthropic, AI-agenter, Claude Code, Forever Security