Een vervalst AGENTS.md-bestand in de Downloads-map van een klant probeerde de AI-codeeragent Codex te misleiden tot het installeren van een kwaadaardig npm-pakket, meldt beveiligingsbedrijf Forever Security. Het bedrijf, dat risico’s van AI-agents monitort, ontdekte het bestand bij een echte klant en wist de uitvoering van kwaadaardige code te stoppen voordat er schade ontstond.
Het bestand zag eruit als gewone engineeringnotities, maar instrueerde de agent om een server toe te voegen aan zijn eigen configuratie en het pakket function-color te installeren. Dat pakket hoort bij de MALFEX-campagne, eerder beschreven door onderzoekers van CloudSEK en Checkmarx: het haalt een downloader binnen die een Windows-payload ophaalt en uitvoert.
Hoe het bestand in de Downloads-map van de klant terechtkwam, kon Forever niet vaststellen. Het bedrijf bouwde wel een proof-of-concept die laat zien dat een kwaadaardige webpagina zonder klik of goedkeuring een AGENTS.md-bestand in Downloads kan plaatsen, simpelweg omdat browsers downloads daar standaard opslaan. Of een echte aanvaller die route heeft gebruikt, is niet bekend.
In tests op een geïsoleerde virtuele machine registreerde het bestand bij OpenAI Codex een kwaadaardige server in het bestand ~/.codex/config.toml en installeerde het het pakket. Omdat die configuratie voor alle Codex-sessies op de machine geldt, bleef de server ook in andere mappen actief. Codex voerde de malware in meer dan 90 procent van de pogingen daadwerkelijk uit. Bij Claude Code probeerde een vergelijkbaar CLAUDE.md-bestand de instelling ANTHROPIC_BASE_URL te wijzigen, zodat API-verkeer naar een server van Forever ging en het inlogtoken van de agent kon worden onderschept. Claude vraagt daarvoor om goedkeuring en wijst verdachte verzoeken vaak af, maar met een lange, technisch ogende opmaak keurden testers de wijziging in ongeveer de helft van de gevallen toch goed.
Onderzoeker Gal Weizman van Forever Security zegt dat klanten AI-agents vaak in de Downloads-map laten draaien: alleen al Claude Code startte daar meer dan 1.300 sessies. Volgens het bedrijf is er voor OpenAI en Anthropic niets te patchen, omdat de agent precies doet wat hij moet doen: instructies uit zijn werkmap volgen.
Praktisch advies voor wie zelf met AI-codeeragents werkt: start ze nooit in de Downloads-map maar in de hoofdmap van een specifiek project, controleer onbekende AGENTS.md- of CLAUDE.md-bestanden voordat de agent ze mag lezen, laat goedkeuringsprompts en sandboxbeveiliging altijd aan staan, en vervang direct inloggegevens als je een ongeautoriseerd geplaatst bestand aantreft.
Bron: BleepingComputer en The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.