Forever Security обнаружила на компьютере реального клиента файл с инструкциями для ИИ-агента. Тот выдавал себя за обычные инженерные заметки и предлагал добавить сервер в конфигурацию агента, а затем установить npm-пакет function-color. Компания сообщила об инциденте в отчёте, опубликованном «на прошлой неделе»; точную дату она не указала. Как файл попал в папку «Загрузки», выяснить не удалось. Попытку остановили до выполнения кода.
Имя файла в описании Forever Security — . Предложенный пакет связан с кампанией вредоносного ПО, которую исследователи CloudSEK и Checkmarx назвали MALFEX. Пакет function-color подтягивает загрузчик function-flag, а тот скачивает и запускает вредоносную программу для Windows.
По оценке Forever Security, риск возникает из сочетания двух обычных возможностей. Кодовые агенты читают и выполняют инструкции из файлов в открытой папке. В то же время веб-страница может сохранить файл в «Загрузки» без щелчка пользователя и без запроса разрешения, задав ему имя и содержимое. Если агент запустить из этой папки, он может принять подложные указания за рабочие.
Исследователи не установили, что именно так файл оказался на компьютере клиента. Чтобы проверить техническую возможность такого сценария, Forever создала демонстрационную веб-страницу: при посещении она незаметно скачивает в «Загрузки» файл . Использовал ли эту технику настоящий злоумышленник, неизвестно.
В изолированной виртуальной машине Forever проверила реальный файл на двух агентах. В случае с Codex инструкции под видом настройки проекта предлагали зарегистрировать сервер в ~/.codex/config.toml и выполнить команду установки пакета. Эта конфигурация действует для всех сессий Codex на компьютере: после изменения сервер загружался бы при запуске агента в любой папке. По данным Forever, Codex запускал вредоносное ПО более чем в 90% попыток.
Для Claude Code применили другой сценарий, и он срабатывал реже. Подложный файл , оформленный как описание настройки внутреннего шлюза, побуждал агента записать параметр ANTHROPIC_BASE_URL в файл настроек проекта. Адрес направлял API-запросы на сервер под контролем Forever. Такой сервер мог получить токен входа текущей сессии, потенциально открывая путь к захвату аккаунта, а затем отвечать от имени модели и подсказывать агенту команды для выполнения.
Claude Code требует подтверждения человека перед такой записью и часто отклоняет подозрительные просьбы. Но длинное, похожее на инженерную документацию обоснование помогало добиться согласия примерно в половине случаев, рассказали исследователи.
Forever сравнила ситуацию с фишинговой страницей в браузере: браузер работает штатно, а атаку организует содержимое страницы. «Здесь нечего исправлять OpenAI или Anthropic», — заявила компания. По её мнению, уязвимость возникает из того, как агенту задают рабочую папку и какие файлы он там считает доверенными.
По телеметрии Forever Security, около половины её клиентов запускают кодового агента в папке «Загрузки», а примерно четверть сессий агента открывает браузер. Это создаёт условия для атаки: агент работает там, куда веб-страница может записать файл, и иногда сам просматривает интернет, пока пользователь не следит за загрузками.
Компания советует не запускать Codex, Claude Code и другие агенты из ~/Downloads. Перед работой в незнакомой папке стоит проверить, нет ли там неожиданных или , в том числе в недавно клонированном репозитории, и прочитать такие файлы заранее. В ~/.codex/config.toml нужно искать незнакомый блок сервера или изменённый базовый URL; в .claude/settings.json проекта — неожиданный ANTHROPIC_BASE_URL и другие неизвестные адреса API. Запросы на отключение подтверждений и песочницы следует считать поводом для настороженности. Если обнаружен подложный файл, Forever рекомендует сменить токен входа: украденный токен может давать доступ к активной сессии, а не только перехватывать один запрос.
Изображение носит иллюстративный характер
Имя файла в описании Forever Security — . Предложенный пакет связан с кампанией вредоносного ПО, которую исследователи CloudSEK и Checkmarx назвали MALFEX. Пакет function-color подтягивает загрузчик function-flag, а тот скачивает и запускает вредоносную программу для Windows.
По оценке Forever Security, риск возникает из сочетания двух обычных возможностей. Кодовые агенты читают и выполняют инструкции из файлов в открытой папке. В то же время веб-страница может сохранить файл в «Загрузки» без щелчка пользователя и без запроса разрешения, задав ему имя и содержимое. Если агент запустить из этой папки, он может принять подложные указания за рабочие.
Исследователи не установили, что именно так файл оказался на компьютере клиента. Чтобы проверить техническую возможность такого сценария, Forever создала демонстрационную веб-страницу: при посещении она незаметно скачивает в «Загрузки» файл . Использовал ли эту технику настоящий злоумышленник, неизвестно.
В изолированной виртуальной машине Forever проверила реальный файл на двух агентах. В случае с Codex инструкции под видом настройки проекта предлагали зарегистрировать сервер в ~/.codex/config.toml и выполнить команду установки пакета. Эта конфигурация действует для всех сессий Codex на компьютере: после изменения сервер загружался бы при запуске агента в любой папке. По данным Forever, Codex запускал вредоносное ПО более чем в 90% попыток.
Для Claude Code применили другой сценарий, и он срабатывал реже. Подложный файл , оформленный как описание настройки внутреннего шлюза, побуждал агента записать параметр ANTHROPIC_BASE_URL в файл настроек проекта. Адрес направлял API-запросы на сервер под контролем Forever. Такой сервер мог получить токен входа текущей сессии, потенциально открывая путь к захвату аккаунта, а затем отвечать от имени модели и подсказывать агенту команды для выполнения.
Claude Code требует подтверждения человека перед такой записью и часто отклоняет подозрительные просьбы. Но длинное, похожее на инженерную документацию обоснование помогало добиться согласия примерно в половине случаев, рассказали исследователи.
Forever сравнила ситуацию с фишинговой страницей в браузере: браузер работает штатно, а атаку организует содержимое страницы. «Здесь нечего исправлять OpenAI или Anthropic», — заявила компания. По её мнению, уязвимость возникает из того, как агенту задают рабочую папку и какие файлы он там считает доверенными.
По телеметрии Forever Security, около половины её клиентов запускают кодового агента в папке «Загрузки», а примерно четверть сессий агента открывает браузер. Это создаёт условия для атаки: агент работает там, куда веб-страница может записать файл, и иногда сам просматривает интернет, пока пользователь не следит за загрузками.
Компания советует не запускать Codex, Claude Code и другие агенты из ~/Downloads. Перед работой в незнакомой папке стоит проверить, нет ли там неожиданных или , в том числе в недавно клонированном репозитории, и прочитать такие файлы заранее. В ~/.codex/config.toml нужно искать незнакомый блок сервера или изменённый базовый URL; в .claude/settings.json проекта — неожиданный ANTHROPIC_BASE_URL и другие неизвестные адреса API. Запросы на отключение подтверждений и песочницы следует считать поводом для настороженности. Если обнаружен подложный файл, Forever рекомендует сменить токен входа: украденный токен может давать доступ к активной сессии, а не только перехватывать один запрос.
