Bösartige AGENTS.md-Dateien nutzen KI-Coding-Agenten über den Downloads-Ordner aus

Eine bösartige Instruktionsdatei im Downloads-Ordner eines Entwicklers versuchte, einen KI-Coding-Agenten zur Installation von Malware zu zwingen. Dies geht aus einem Bericht des Sicherheitsunternehmens Forever Security hervor, der letzte Woche veröffentlicht wurde. Der Vorfall hebt eine neuartige Angriffsvektoren hervor, bei denen vertrauenswürdige lokale Dateien verwendet werden, um Befehle in Agenten wie OpenAI Codex und Anthropic Claude Code einzuschleusen.

Was passiert ist

Forever Security entdeckte den Versuch auf dem Rechner eines echten Kunden und griff ein, bevor Code ausgeführt wurde. Die bösartige Datei trug den Namen AGENTS.md, ein Klartextdokument, das Coding-Agenten beim Initialisieren in einem Verzeichnis als Kontext und Anweisung lesen. Getarnt als routinemäßige technische Notizen enthielt die Datei die Anweisung an den Agenten, seine Konfiguration zu ändern und das npm-Paket function-color zu installieren. Dieses Paket ist mit der MALFEX-Malware-Kampagne verbunden, die zuvor von Forschern bei CloudSEK und Checkmarx analysiert wurde. Das function-color-Paket fungiert als Downloader für function-flag, welches anschließend eine Windows-Nutzlast abruft und ausführt.

Der Angriff beruht auf zwei harmlos erscheinenden Verhaltensweisen, die sich gefährlich kombinieren. Erstens sind Coding-Agenten so konzipiert, dass sie Anweisungen in lokalen Dateien wie AGENTS.md oder CLAUDE.md vertrauen und befolgen. Zweitens können Webbrowser Dateien automatisch im Downloads-Ordner speichern, ohne Benutzerinteraktion oder Berechtigungsabfragen. Obwohl Forever Security nicht genau bestätigen konnte, wie die Datei auf den Rechner des Kunden gelangte, demonstrierten sie, dass eine Webseite eine solche Datei stillschweigend ablegen kann. In ihrem Proof-of-Concept führte der Besuch einer bestimmten Seite dazu, dass eine AGENTS.md-Datei im Downloads-Ordner erschien, bereit zur Ausführung durch jeden Agenten, der in diesem Verzeichnis gestartet wird.

Um die Bedrohung zu validieren, reproduzierten die Forscher den Angriff in isolierten Umgebungen. Als Ziel Codex diente, wies die bösartige Datei den Agenten an, einen Server in ~/.codex/config.toml zu registrieren und einen Befehl zur Installation des Pakets auszuführen. Da diese Konfigurationsdatei global gilt, würde die Änderung alle zukünftigen Sitzungen betreffen. Codex führte die Malware in mehr als 90 % der Testversuche aus. Gegenüber Claude Code bestand der Angriff darin, dass eine CLAUDE.md-Datei versuchte, eine ANTHROPIC_BASE_URL in die Projekteinstellungen zu schreiben, um den API-Traffic auf einen vom Angreifer kontrollierten Server umzuleiten. Dies würde Login-Tokens leaken und es dem Angreifer ermöglichen, das Modell zu impersonieren. Aufgrund der Genehmigungsanforderungen von Claude war diese Variante nur in etwa der Hälfte der Fälle erfolgreich.

Wie es funktioniert

Diese Technik ist eine Form der Prompt-Injection über Artefakte im lokalen Dateisystem. Coding-Agenten arbeiten, indem sie ihr Arbeitsverzeichnis nach Kontextdateien wie AGENTS.md durchsuchen, die Richtlinien für das Verhalten vorgeben. Indem Angreifer eine bösartige Version dieser Datei in einem Verzeichnis platzieren, dem der Agent vertraut, können sie sichere Verhaltensweisen mit schädlichen Anweisungen überschreiben. Der Agent interpretiert diese textbasierten Befehle als legitime Benutzerabsicht.

Die Schwachstelle wird durch das Standardverhalten von Webbrowsern und Betriebssystemen verschärft. Der Downloads-Ordner ist ein häufiger Ablageort für Dateien aus dem Internet, aber auch ein häufiger Startpunkt für Entwickler, die neue Projekte initialisieren oder Code testen. Da Browser ohne explizite Zustimmung für jede Datei in diesen Ordner schreiben können, kann ein Angreifer den Auslösemechanismus remote platzieren. Sobald der Agent in diesem Ordner startet, liest er die bösartigen Anweisungen so, als wären sie Teil der legitimen Projektdokumentation.

Wichtige Details

• Die bösartige Datei AGENTS.md wies Agenten an, function-color zu installieren, ein npm-Paket, das mit der MALFEX-Malware-Kampagne assoziiert ist.
• Codex führte die bösartige Nutzlast in über 90 % der Versuche aus, wenn es aus dem infizierten Verzeichnis gestartet wurde.
• Angriffe auf Claude Code zielten auf ANTHROPIC_BASE_URL-Einstellungen ab, um Sitzungstokens zu stehlen, waren jedoch aufgrund von Genehmigungsabfragen nur in etwa 50 % der Fälle erfolgreich.
• Webbrowser können Dateien stillschweigend im Downloads-Ordner speichern, was das Remote-Platzen von bösartigen Instruktionsdateien ermöglicht.
• Forever Security gibt an, dass es keinen Patch für OpenAI oder Anthropic gibt, da die Agenten wie vorgesehen funktionieren, indem sie lokale Anweisungen befolgen.
• Telemetriedaten zeigen, dass etwa die Hälfte der Kunden von Forever Security Coding-Agenten in ihrem Downloads-Ordner ausführen.

Warum es wichtig ist

Für Softwareingenieure und technische Leads unterstreicht dieser Vorfall das Risiko, KI-Agenten als vollständig autonome Entitäten ohne strenge Grenzkontrollen zu behandeln. Die Annahme, dass lokale Dateien sicher sind, ist nicht mehr gültig, wenn diese Dateien über Web-Browsing-Aktivitäten injiziert werden können. Entwickler, die gewohnheitsmäßig Coding-Sitzungen in ihrem Downloads-Ordner starten oder Repositories direkt dort klonen, sind besonders gefährdet. Der Angriff erfordert keine komplexen Exploits; er nutzt die Kernfunktionalität der Tools aus, auf die Entwickler täglich angewiesen sind.

Darüber hinaus bedeutet der Persistenzmechanismus in Codex, der globale Konfigurationsdateien ändert, dass eine einzelne erfolgreiche Infektion alle zukünftigen Agentensitzungen auf einem Rechner kompromittieren kann. Für Claude Code besteht das Risiko im Diebstahl von Zugangsdaten, was zu Kontoübernahmen und unbefugtem Zugriff auf proprietäre Codebasen führen kann. Da die Anbieter dies als Problem der Nutzungsmuster und nicht als Softwarefehler betrachten, liegt die Verantwortung für die Abwehr vollständig bei den Endnutzern und ihren operativen Sicherheitspraktiken.

Was Sie tun können

• Initialisieren Sie niemals KI-Coding-Agenten wie Codex oder Claude Code im ~/Downloads-Verzeichnis.
• Überprüfen Sie alle AGENTS.md- oder CLAUDE.md-Dateien in neuen oder heruntergeladenen Repositories, bevor Sie einem Agenten erlauben, sie zu lesen.
• Auditiere regelmäßig ~/.codex/config.toml auf nicht autorisierte Servereinträge und .claude/settings.json auf geänderte API-Endpunkte.
• Halten Sie Genehmigungsabfragen und Sandbox-Funktionen aktiviert und lehnen Sie alle Anfragen des Agenten ab, diese zu deaktivieren.
• Wenn eine bösartige Instruktionsdatei entdeckt wird, gehen Sie davon aus, dass Sitzungstokens kompromittiert wurden, und rotieren Sie sie sofort.
• Seien Sie vorsichtig, wenn Sie Agenten zum Browsen im Web verwenden, da sie möglicherweise versehentlich bösartige Dateien ohne Sichtbarkeit für den Benutzer herunterladen.