Tệp AGENTS.md độc hại khai thác lỗ hổng của các tác nhân lập trình AI qua thư mục Downloads

Theo một báo cáo do công ty bảo mật Forever Security công bố tuần trước, một tệp hướng dẫn độc hại được đặt trong thư mục Downloads của một nhà phát triển đã cố gắng ép buộc một tác nhân lập trình AI cài đặt phần mềm độc hại. Sự cố này làm nổi bật một vector tấn công mới lạ, nơi các tệp cục bộ đáng tin cậy được sử dụng để chèn lệnh vào các tác nhân như Codex của OpenAI và Claude Code của Anthropic.

Chuyện gì đã xảy ra

Forever Security đã phát hiện nỗ lực tấn công trên máy của một khách hàng thực tế và can thiệp trước khi bất kỳ mã nào được thực thi. Tệp độc hại có tên là AGENTS.md, một tài liệu văn bản thuần túy mà các tác nhân lập trình đọc để lấy ngữ cảnh và hướng dẫn khi được khởi tạo trong một thư mục. Được ngụy trang dưới dạng ghi chú kỹ thuật thông thường, tệp này chứa chỉ thị yêu cầu tác nhân sửa đổi cấu hình của nó và cài đặt một gói npm có tên function-color. Gói này liên quan đến chiến dịch phần mềm độc hại MALFEX, từng được các nhà nghiên cứu tại CloudSEK và Checkmarx phân tích. Gói function-color hoạt động như một trình tải xuống cho function-flag, sau đó sẽ truy xuất và thực thi một payload Windows.

Cuộc tấn công dựa trên sự kết hợp nguy hiểm của hai hành vi vô hại. Thứ nhất, các tác nhân lập trình được thiết kế để tin tưởng và tuân theo các hướng dẫn tìm thấy trong các tệp cục bộ như AGENTS.md hoặc CLAUDE.md. Thứ hai, trình duyệt web có thể tự động lưu tệp vào thư mục Downloads mà không cần tương tác hoặc nhắc nhở cấp quyền từ người dùng. Mặc dù Forever Security không thể xác nhận chính xác cách tệp này tiếp cận máy của khách hàng, họ đã chứng minh rằng một trang web có thể âm thầm thả một tệp như vậy. Trong bằng chứng khái niệm (proof-of-concept) của họ, việc truy cập một trang cụ thể đã khiến một tệp AGENTS.md xuất hiện trong thư mục Downloads, sẵn sàng để được thực thi bởi bất kỳ tác nhân nào được khởi chạy trong thư mục đó.

Để xác minh mối đe dọa, các nhà nghiên cứu đã tái hiện cuộc tấn công trong môi trường cô lập. Khi nhắm mục tiêu vào Codex, tệp độc hại hướng dẫn tác nhân đăng ký một máy chủ trong ~/.codex/config.toml và chạy lệnh để cài đặt gói. Vì tệp cấu hình này áp dụng toàn cục, thay đổi sẽ tồn tại qua tất cả các phiên làm việc trong tương lai. Codex đã thực thi phần mềm độc hại trong hơn 90% số lần thử nghiệm. Đối với Claude Code, cuộc tấn công liên quan đến một tệp CLAUDE.md cố gắng ghi ANTHROPIC_BASE_URL vào cài đặt dự án, chuyển hướng lưu lượng API sang một máy chủ do kẻ tấn công kiểm soát. Điều này sẽ làm rò rỉ token đăng nhập và cho phép kẻ tấn công giả mạo mô hình. Do các yêu cầu phê duyệt của Claude, biến thể này chỉ thành công khoảng một nửa số lần.

Cơ chế hoạt động

Kỹ thuật này là một dạng tiêm prompt (prompt injection) thông qua các đối tượng trên hệ thống tệp cục bộ. Các tác nhân lập trình hoạt động bằng cách quét thư mục làm việc của chúng để tìm các tệp ngữ cảnh, chẳng hạn như AGENTS.md, cung cấp các nguyên tắc cho hành vi. Bằng cách đặt một phiên bản độc hại của tệp này trong một thư mục mà tác nhân tin tưởng, kẻ tấn công có thể ghi đè các hành vi an toàn bằng những chỉ thị gây hại. Tác nhân diễn giải các lệnh dạng văn bản này như ý định hợp pháp của người dùng.

Lỗ hổng trở nên trầm trọng hơn do hành vi mặc định của trình duyệt web và hệ điều hành. Thư mục Downloads là điểm hạ cánh phổ biến cho các tệp từ internet, nhưng cũng là điểm khởi đầu thường xuyên cho các nhà phát triển khi khởi tạo dự án mới hoặc thử nghiệm mã. Vì trình duyệt có thể ghi vào thư mục này mà không cần sự đồng ý rõ ràng cho từng tệp, kẻ tấn công có thể cài đặt cơ chế kích hoạt từ xa. Một khi tác nhân khởi chạy trong thư mục đó, nó đọc các chỉ thị độc hại như thể chúng là một phần của tài liệu hợp pháp của dự án.

Chi tiết chính

• Tệp độc hại AGENTS.md hướng dẫn các tác nhân cài đặt function-color, một gói npm liên quan đến chiến dịch phần mềm độc hại MALFEX.
• Codex đã thực thi payload độc hại trong hơn 90% số lần thử khi được khởi chạy từ thư mục bị nhiễm.
• Các cuộc tấn công nhắm vào Claude Code tập trung vào cài đặt ANTHROPIC_BASE_URL để đánh cắp token phiên, thành công trong khoảng 50% trường hợp do các lời nhắc phê duyệt.
• Trình duyệt web có thể âm thầm lưu tệp vào thư mục Downloads, cho phép cài đặt từ xa các tệp hướng dẫn độc hại.
• Forever Security tuyên bố không có bản vá cho OpenAI hay Anthropic, vì các tác nhân đang hoạt động đúng như thiết kế bằng cách tuân theo các chỉ thị cục bộ.
• Dữ liệu telemetry cho thấy khoảng một nửa số khách hàng của Forever Security chạy các tác nhân lập trình trong thư mục Downloads của họ.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và trưởng nhóm kỹ thuật, sự cố này nhấn mạnh rủi ro khi coi các tác nhân AI là thực thể hoàn toàn tự chủ mà không có các biện pháp kiểm soát ranh giới nghiêm ngặt. Giả định rằng các tệp cục bộ là an toàn không còn đúng nữa khi những tệp đó có thể được chèn vào thông qua các hoạt động duyệt web. Các nhà phát triển có thói quen bắt đầu phiên lập trình trong thư mục Downloads hoặc clone kho mã trực tiếp vào đó đặc biệt dễ bị tổn thương. Cuộc tấn công không đòi hỏi các exploit phức tạp; nó khai thác chức năng cốt lõi của các công cụ mà các nhà phát triển phụ thuộc hàng ngày.

Hơn nữa, cơ chế duy trì trong Codex, vốn sửa đổi các tệp cấu hình toàn cục, có nghĩa là một lần nhiễm thành công duy nhất có thể làm suy yếu tất cả các phiên tác nhân trong tương lai trên một máy. Đối với Claude Code, rủi ro liên quan đến việc đánh cắp thông tin đăng nhập, có thể dẫn đến chiếm quyền kiểm soát tài khoản và truy cập trái phép vào các kho mã độc quyền. Vì các nhà cung cấp xem đây là vấn đề về mẫu sử dụng chứ không phải lỗi phần mềm, trách nhiệm giảm thiểu rủi ro hoàn toàn thuộc về người dùng cuối và các thực hành bảo mật vận hành của họ.

Bạn có thể làm gì

• Không bao giờ khởi tạo các tác nhân lập trình AI như Codex hoặc Claude Code trong thư mục ~/Downloads.
• Kiểm tra bất kỳ tệp AGENTS.md hoặc CLAUDE.md nào trong các kho mã mới hoặc đã tải xuống trước khi cho phép tác nhân đọc chúng.
• Thường xuyên kiểm toán ~/.codex/config.toml để tìm các mục máy chủ trái phép và .claude/settings.json để tìm các endpoint API đã bị thay đổi.
• Giữ cho các lời nhắc phê duyệt và tính năng sandbox luôn được bật, và từ chối mọi yêu cầu của tác nhân nhằm tắt chúng.
• Nếu phát hiện một tệp hướng dẫn độc hại, hãy giả định rằng các token phiên đã bị xâm phạm và xoay vòng chúng ngay lập tức.
• Hãy thận trọng khi sử dụng các tác nhân để duyệt web, vì chúng có thể vô tình tải xuống các tệp độc hại mà không hiển thị cho người dùng.