Investigadores descobriram uma nova forma de comprometer agentes AI através de um ficheiro de texto aparentemente inofensivo. O ataque recorre a ficheiros como AGENTS.md ou CLAUDE.md, que são considerados ficheiros de texto inofensivos pelo browser, mas que contêm instruções que são seguidas pelos assistentes AI. A empresa Forever Security deparou-se com esta técnica depois de um agente AI no computador de um cliente ter tentado instalar um pacote npm malicioso, seguindo instruções escondidas num ficheiro na pasta Transferências.
O ataque explora a capacidade destes agentes para lerem automaticamente ficheiros de instruções existentes na pasta de trabalho. Embora ficheiros como AGENTS.md não sejam executáveis, podem fazer com que os agentes executem comandos, instalem pacotes, ou exponham informações sensíveis. Os investigadores demonstraram a técnica com o OpenAI Codex e o Claude Code, mostrando como instruções maliciosas podem manipular o seu comportamento. E uma vez que se tratam de siumples ficheiros de texto, uma página web maliciosa poderá conseguir descarregar esse ficheiro de instruções para pasta Transferências, com intervenção mínima do utilizador.
Nos testes realizados, os investigadores conseguiram levar o Codex a executar tarefas de demonstração inofensivas em 90% das tentativas. Numa experiência separada, utilizaram um ficheiro CLAUDE.md malicioso para redireccionar o tráfego da API do Claude Code para um servidor controlado por eles, expondo um token OAuth e criando a possibilidade de assumir o controlo da conta. Esta técnica foi bem-sucedida em cerca de 50% dos testes. Ainda assim, importa frisar, o ataque depende do utilizador iniciar o agente de programação na pasta de Downloads com o ficheiro contendo as instruções maliciosas.
Para reduzir os riscos, os investigadores recomendam que a pasta Downloads/Transferências não seja utilizada como pasta de trabalho dos agentes AI. A OpenAI e a Anthropic aconselham a iniciar estas ferramentas na pasta principal do projecto específico em que querem trabalhar, limitando o acesso a ficheiros sem relação com a tarefa. Os utilizadores devem também verificar ficheiros de instruções desconhecidos, manter as protecções de segurança, e testar código num ambiente isolado.
Sem comentários:
Enviar um comentário (problemas a comentar?)