AGENTS.md у папці Downloads може зламати AI-агентів і викрасти токени
Дослідники Forever Security показали, як markdown-файл AGENTS.md у ~/Downloads змушує AI-агентів виконувати шкідливі інструкції, встановлювати пакети й навіть розкривати OAuth-токени.
Forever Security виявила на комп’ютері клієнта файл AGENTS.md у папці ~/Downloads, який спрямовував AI-агента встановити шкідливий npm-пакет, а у відтворених тестах — виконувати довільний код і витікати OAuth-токени.
Як працює атака
AI-агенти завантажують інструкції з робочого каталогу та діють згідно з ними. У випадку клієнта інструкції з AGENTS.md спонукали агента спробувати інсталювати пакет ‘function-color’. Дослідники відстежили, що саме цей файл у ~/Downloads був джерелом поведінки.
Markdown не є виконуваним кодом, але зловмисні правила можуть спонукати агента до запуску команд, встановлення пакетів чи зміни налаштувань у межах наданих інструментів і дозволів. «Патчити тут нічого», кажуть у Forever Security: агент робить саме те, на що запрограмований.
Чому саме Downloads
Forever Security пояснює: ~/Downloads — «особлива» папка, куди вебсторінки можуть тихо зберігати файли. У їхньому PoC сторінка непомітно завантажувала AGENTS.md зі безпечним вмістом; BleepingComputer це підтвердив.
За замовчуванням Chrome, Edge і Firefox зберігають файли одразу в Downloads (показують сповіщення), тоді як Brave просить підтвердження. Щоб атака спрацювала, користувач має запустити AI-агента саме з цієї папки, що, за словами дослідника Gal Weizman, трапляється часто.
Реальні тести
Відтворена атака проти OpenAI Codex із «безпечним» навантаженням (відкриття калькулятора) спрацювала у 90% випадків. В окремому тесті файл CLAUDE.md перенаправляв трафік Claude Code на сервер дослідників, що розкривало OAuth-токен і дозволяло імітувати модель та повертати виклики інструментів, які виконували код — приблизно у 50% спроб.
Рекомендації з безпеки
- Не використовуйте ~/Downloads як робочий каталог AI-агента — там можуть опинитися неперевірені інструкції.
- Запускайте агента в корені конкретного проєкту, щоб обмежити контекст і не підхоплювати сторонні файли.
- Звертайте увагу на сповіщення браузера про завантаження файлів; у разі сумнівів — очищуйте Downloads перед роботою агента.
За даними Forever Security, сотні клієнтів запускають агентів (Claude Code, OpenAI Codex, Cursor CLI) просто з ~/Downloads; лише для Claude Code зафіксовано понад 1 300 сесій із цієї локації. Дослідники наголошують: ризик виникає через поєднання очікуваної поведінки браузерів і агентів, тож запобіжні дії лежать на користувачеві. Водночас OpenAI та Anthropic також радять працювати виключно з каталогу проєкту.
