Pesquisadores encontraram um arquivo malicioso de instruções em Markdown, chamado AGENTS.md, na pasta Downloads de um cliente. O arquivo convenceu um agente de programação com IA a instalar um pacote npm malicioso.
Os pesquisadores reproduziram o ataque contra o OpenAI Codex e demonstraram uma técnica relacionada contra o Claude Code, capaz de expor tokens OAuth e sequestrar uma conta apenas com instruções maliciosas.
Arquivos Markdown como AGENTS.md são arquivos de texto simples que contêm instruções específicas de um projeto para agentes de programação com IA. Eles podem indicar quais ferramentas usar, como executar testes e quais convenções de código seguir.
Pesquisadores da Forever Security, empresa que monitora riscos introduzidos por agentes de IA e programas autônomos, descobriram a tática no computador de um cliente. Na máquina, um agente de programação tentou instalar o pacote npm malicioso function-color.
A investigação relacionou a tentativa de instalação do pacote a um arquivo AGENTS.md na pasta ~/Downloads do cliente, que também era usada como diretório de trabalho do agente.
Os agentes carregam automaticamente os arquivos aplicáveis encontrados em seu diretório de trabalho e usam as instruções contidas neles para orientar suas ações.
Embora esses arquivos não sejam executáveis, instruções maliciosas podem levar agentes de IA a executar comandos, instalar pacotes ou alterar configurações usando as ferramentas e permissões disponíveis.
“Não há nada aqui para a OpenAI ou a Anthropic corrigirem com um patch. Um agente que segue o AGENTS.md em sua pasta está fazendo exatamente aquilo para que foi criado”, afirmam os pesquisadores.
Os testes confirmaram que um invasor poderia usar esse tipo de arquivo para manipular o OpenAI Codex e o Claude Code, levando-os a executar código ou roubar credenciais.
Os pesquisadores não conseguiram determinar como o arquivo de instruções malicioso chegou à pasta ~/Downloads do alvo. No entanto, segundo o BleepingComputer, eles explicaram que simplesmente visitar uma página maliciosa poderia baixar um payload sem qualquer interação do usuário.
Em um relatório publicado nesta semana, a Forever Security afirma que “~/Downloads é especial. É a única pasta na qual a web pode gravar arquivos por conta própria” e que “uma página pode baixar silenciosamente um arquivo chamado AGENTS.md para a pasta Downloads”.
Os pesquisadores criaram uma prova de conceito (PoC) para mostrar como o ataque poderia colocar um arquivo malicioso em ~/Downloads sem que o usuário percebesse.
Segundo o BleepingComputer, ao acessar a página da PoC, o navegador baixou um arquivo AGENTS.md com conteúdo inofensivo: as frases “dados confidenciais aqui” e “linha 2”.
Por padrão, vários navegadores populares, entre eles Chrome, Edge e Firefox, salvam os arquivos baixados da web na pasta ~/Downloads do usuário, sem pedir que ele escolha um local a cada download.
Em testes com outros navegadores, como o Brave, o BleepingComputer constatou que foi necessário aprovar o download, o que deveria alertar o usuário de que um arquivo estava sendo baixado.
Ainda assim, Chrome, Edge e Firefox exibem notificações de download por padrão, avisando quando um arquivo é salvo no computador.
Depois de colocar o arquivo na pasta Downloads, o ataque dependeria de o alvo iniciar o agente de IA nesse mesmo diretório. Assim, o agente carregaria o arquivo de instruções e processaria o conteúdo malicioso.
Segundo o BleepingComputer, Gal Weizman, pesquisador da Forever Security, afirmou que essa prática é comum, pois muitas pessoas usam agentes de IA para organizar essa pasta ou lidar com arquivos recém-baixados.
Weizman também afirmou que estatísticas internas mostram que centenas de clientes executam agentes de IA, como Claude Code, OpenAI Codex e Cursor CLI, a partir de ~/Downloads. Segundo o pesquisador, o Claude Code, sozinho, iniciou mais de 1.300 sessões nesse local.
Os pesquisadores testaram a cadeia de ataque reconstruída contra o Codex usando um payload inofensivo, que apenas abria o aplicativo Calculadora. O ataque teve êxito em 90% dos testes.
Em outro teste, eles usaram um arquivo CLAUDE.md malicioso para redirecionar o tráfego da API do Claude Code a um servidor sob seu controle. Isso expôs o token OAuth do agente e permitiu que o servidor se passasse pelo modelo e retornasse chamadas de ferramentas que executavam código. A técnica funcionou em cerca de 50% dos testes.
Os pesquisadores afirmam que o risco resulta da combinação de comportamentos previstos dos navegadores e dos agentes. Por isso, os usuários devem tomar precauções para se proteger.
Os usuários devem evitar definir ~/Downloads como diretório de trabalho de um agente de programação com IA, pois a pasta pode conter arquivos não confiáveis que o agente poderia interpretar como instruções.
A OpenAI e a Anthropic recomendam iniciar seus agentes de programação com IA no diretório do projeto em que devem trabalhar.
Manter o diretório de trabalho restrito ao projeto relevante dá ao agente o contexto adequado e limita o alcance de suas ações. Isso reduz o risco de ele processar arquivos não confiáveis em locais sem relação com a tarefa.
A recomendação comum da OpenAI e da Anthropic é iniciar o agente na pasta principal do projeto específico, em vez de usar a pasta pessoal ou um diretório pai abrangente. A área de trabalho deve ser a mais restrita possível, e o acesso deve ser ampliado apenas quando necessário.
A ideia central é que o diretório de trabalho define o contexto padrão do projeto para o agente e, dependendo da ferramenta, também ajuda a estabelecer os limites de acesso ao sistema de arquivos.
Os usuários devem revisar arquivos de instruções desconhecidos, como AGENTS.md e CLAUDE.md, antes de permitir que um agente de programação com IA os siga. Também devem manter ativadas as solicitações de aprovação e as proteções da sandbox, além de testar códigos potencialmente não confiáveis em um ambiente isolado antes de executá-los no sistema principal.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...