Claude Code och Codex lyder en fil som vilken webbplats som helst kan lägga i Hämtade filer

En textfil som en webbplats sparar i mappen Downloads kan nu ge order till AI-kodningsagenten på din dator. Forskare på Forever Security hittade en manipulerad AGENTS.md-fil på en kunds dator. Det är en vanlig textfil med instruktioner som verktyg som OpenAI:s Codex läser när de startar. I filen hade agenten fått order om att installera en känd typ av skadlig programvara. Om du någon gång har öppnat Claude Code eller Codex i Downloads för att städa upp där eller arbeta med en fil du just hämtat, har du gett den mappen samma förtroende som ett av dina egna projekt.

Agenten gjorde inget fel enligt sina egna regler. AGENTS.md och motsvarigheten för Claude, CLAUDE.md, finns för att ett projekt ska kunna tala om för en agent vilka verktyg den ska använda och hur den ska köra sina tester. Agenten är byggd för att följa instruktionerna. Forskarnas poäng är att Downloads är den enda mapp som webben kan fylla på egen hand. ”Det finns inget här som OpenAI eller Anthropic kan åtgärda med en säkerhetsuppdatering”, skriver de. ”En agent som följer AGENTS.md-filen i sin mapp gör precis det den är byggd för att göra.”

Den riktiga filen var ett dokument på 13 KB, rubricerat som tekniska riktlinjer. Angreppet var begravt nära slutet och formulerat i den lugna tonen hos en installationsanvisning. Codex fick order om att lägga till en server för ”projektverktyg” i sin konfiguration och installera ett npm-paket med namnet function-color, som forskarna beskriver som skadlig programvara från en kampanj som undgick upptäckt i ungefär två år. Forevers programvara blockerade installationen innan någon kod hann köras. I teamets tester, som oftast använde en ofarlig ersättning som bara öppnade miniräknaren, följde Codex filens instruktioner i mer än 90 procent av försöken. Det riktiga paketet kördes också en gång i en isolerad virtuell maskin. Ändringen hamnar i Codex inställningsfil för hela datorn, vilket innebär att varje senare Codex-session laddar angriparens server, oavsett vilken mapp den körs från.

Claude Code var svårare att lura. Teamet skrev en egen CLAUDE.md-fil som förmår Claude att skicka sin API-trafik till en server som angriparen kontrollerar, maskerad som en företagsgateway. Den inställningen lämnar över Claudes inloggningstoken. Forskarna återanvände den mot Anthropics riktiga API för att agera som offret och lät den falska servern svara som om den vore modellen, med kommandon där sandlådan var avstängd. Claude ber en människa att godkänna en sådan inställningsändring och vägrar ofta, men ändringen gick ändå igenom ungefär hälften av gångerna.

Det krävs mindre än man kan tro för att få in filen på en dator. Chrome, Edge och Firefox sparar som standard hämtade filer i den mappen utan att fråga vart de ska sparas, och en webbsida kan själv välja filens namn och innehåll. BleepingComputer, som rapporterade om upptäckten, besökte forskarnas demonstrationssida och såg den lägga en ofarlig AGENTS.md-fil i mappen. Brave bad först om tillstånd. Forever-forskaren Gal Weizman berättade för sajten att hundratals av företagets kunder kör Claude Code, Codex eller Cursor-kommandoradsagenten från Downloads, och att enbart Claude Code hade startat över 1 300 sessioner där.

Forskningen lämnar flera frågor obesvarade. Forever kunde inte fastställa hur den skadliga filen hamnade på kundens dator, och angreppet kräver fortfarande att någon därefter startar en agent i mappen. Chrome, Edge och Firefox visar visserligen en notis om en nedladdning, som en uppmärksam användare kan lägga märke till. Den riktiga skadeprogramsfilen var skriven för macOS. Forever säljer också övervakningsprogram för AI-agenter, vilket innebär att företaget har ett kommersiellt intresse i den risk det beskriver. Rapporten innehåller inte heller något svar från OpenAI eller Anthropic. Verktygen säljs över hela världen, så risken är densamma på alla marknader där utvecklare använder dem.

Försvaret handlar till stor del om vanor. Starta aldrig en kodningsagent i Downloads, utan kör den från mappen för projektet den ska arbeta med – det är också vad OpenAI och Anthropic redan rekommenderar. Läs alla AGENTS.md- eller CLAUDE.md-filer som du inte själv har skrivit innan en agent får se dem, och låt godkännandefrågor och sandlådor vara aktiverade. Leta efter en serverpost som du inte själv har lagt till i Codex inställningsfil. I ett projekts Claude-inställningar bör du leta efter en API-adress som du inte själv har angett. Om någon sådan dyker upp ska du betrakta inloggningstokenen som stulen och återkalla den. Betrakta också alla datorer där function-color installerats som komprometterade; npm har sedan dess tagit bort paketet.

Forever publicerade sin rapport den 22 oktober, och BleepingComputer rapporterade om den den 25 oktober. Forskarna säger att alla agenter som läser en instruktionsfil och kan skriva om sin egen konfiguration kan styras på samma sätt. Det gör Codex och Claude Code till de två första namnen på en längre lista. En nedladdad fil brukade vara harmlös ända tills någon öppnade den. Nu öppnar filen sig själv så snart en agent börjar läsa mappen.

Taggar: OpenAI, cybersäkerhet, Anthropic, AI-agenter, Claude Code, Forever Security