ملف AGENTS.md خبيث في مجلد التنزيلات يمكن أن يختطف وكيل برمجة بالذكاء الاصطناعي

أثبت باحثون أمنيون في شركة Forever Security أن وكلاء البرمجة الشائعين بالذكاء الاصطناعي، بما في ذلك OpenAI Codex و Claude Code التابع لشركة Anthropic، يمكن اختطافهم بمجرد ملف نصي موجود في مجلد تنزيلات المستخدم، وفقاً لما ذكرته BleepingComputer. لا يتطلب الهجوم أي ثغرة برمجية ولا يوجد تصحيح لإصلاحه، لأن السلوك الذي يُستغل — تحميل الوكلاء التلقائي لملفات التعليمات من دليل العمل الخاص بهم — يعمل تماماً كما صُمم له.

قال الباحث غال فايزمان لـ BleepingComputer إن هذه التقنية رُصدت لأول مرة على جهاز أحد العملاء، حيث حاول وكيل ذكاء اصطناعي تم تشغيله من مجلد التنزيلات، بصمت، تثبيت حزمة npm خبيثة تسمى «function-color» بعد قراءة تعليمات من ملف مزروع.

كيف يعمل الهجوم

تقرأ وكلاء البرمجة بالذكاء الاصطناعي مثل Codex و Claude Code ملف تعليمات قياسياً — AGENTS.md لـ Codex، و CLAUDE.md لـ Claude Code — من أي دليل يُشغَّلان فيه، معاملةً محتواه كسياق موثوق للجلسة. هذا السلوك ميزة متعمدة وموثقة تهدف إلى السماح للمطورين بإعطاء الوكيل إرشادات خاصة بالمشروع. المشكلة أن الوكيل لا يميز بين ملف كتبه المطور وملف وصل بصمت إلى المجلد من مكان آخر.

تحفظ المتصفحات بما فيها Chrome وEdge وFirefox الملفات التي يتم تنزيلها افتراضياً في ~/Downloads، ويمكن لصفحة ويب خبيثة وضع ملف هناك دون تفاعل كبير من المستخدم. إذا شغّل المستخدم لاحقاً وكيل ذكاء اصطناعي من المجلد نفسه — وهو أمر تقول Forever Security إن العملاء يفعلونه عادة لتنظيم التنزيلات الجديدة أو التعامل مع ملفات وصلتهم للتو — فسيحمّل الوكيل أي تعليمات يحتويها الملف المزروع ويتبعها، دون أي تحذير بأن الملف لم يأتِ من المطور.

في الاختبارات، أعاد الباحثون إنتاج الهجوم ضد عدة وكلاء. نجحت حمولة إثبات مفهوم غير ضارة، اكتفت بفتح تطبيق الآلة الحاسبة، في 90% من المحاولات ضد OpenAI Codex. وضد Claude Code، أعاد ملف CLAUDE.md خبيث توجيه حركة API الخاصة بالوكيل إلى خادم يتحكم فيه الباحث، كاشفاً عن رمز مصادقة OAuth الخاص بالمستخدم؛ ونفّذت استدعاءات الأدوات كوداً اختاره المهاجم في حوالي نصف عمليات الاختبار. وذُكر Cursor CLI أيضاً من بين الوكلاء الذين يشغّلهم العملاء عادة من مجلد التنزيلات، رغم أنه لم يُدرج ضمن الأهداف المختبرة مباشرة.

لماذا هذه ليست علّة يمكن لأي من الشركتين تصحيحها

كانت Forever Security صريحة بشأن طبيعة المشكلة: «لا يوجد هنا شيء لتصلحه OpenAI أو Anthropic.» تحميل ملف تعليمات من دليل العمل هو التصميم المقصود لهذه الأدوات، وليس عيباً في شيفرتها — تكمن الثغرة في افتراض أن أي مجلد يصادف أن يشغّل منه المستخدم وكيلاً هو مساحة عمل آمنة وموثوقة. تُظهر بيانات القياس الداخلية لشركة Forever Security حجم هذا التعرض: مئات من عملائها يشغّلون وكلاء الذكاء الاصطناعي بانتظام من مجلد التنزيلات، وقد تم تشغيل Claude Code وحده من ذلك الموقع في أكثر من 1300 جلسة مسجلة.

ماذا تفعل حيال ذلك

نصيحة الباحثين للتخفيف من الخطر ضيقة لكنها ملموسة: لا تجعل أبداً ~/Downloads، أو أي مجلد واسع مثل الدليل الرئيسي، دليل عمل لوكيل ذكاء اصطناعي — شغّل الوكلاء فقط داخل جذر مشروع محدد ومعروف. راجع يدوياً أي ملف AGENTS.md أو CLAUDE.md أو ملف تعليمات مشابه غير مألوف قبل السماح لوكيل بالتصرف بناءً عليه، وأبقِ مطالبات الموافقة المدمجة في الأدوات وحمايات العزل (sandboxing) مفعّلة بدلاً من تعطيلها من أجل الراحة، وعامل أي كود يقترح الوكيل تشغيله على مدخلات غير موثوقة كشيء يجب اختباره أولاً في بيئة معزولة.

يأتي هذا الكشف في وقت يُعتمَد فيه وكلاء البرمجة بالذكاء الاصطناعي على نطاق واسع داخل فرق الهندسة تحديداً لأنهم قادرون على التصرف بشكل مستقل على جهاز المطور — وهي بالضبط الخاصية التي يستغلها هذا الهجوم. ومع نمو اعتماد الوكلاء، يُضاف تسميم ملفات التعليمات إلى حقن التعليمات (prompt injection) كفئة هجوم لا تتطلب كسر البرمجية إطلاقاً، بل فقط استغلال مدى الثقة التي صُمم البرنامج ليمنحها لمحيطه.