Eine bösartige AGENTS.md-Datei in Ihrem Downloads-Ordner kann einen KI-Coding-Agenten kapern

Sicherheitsforscher von Forever Security haben gezeigt, dass beliebte KI-Coding-Agenten, darunter OpenAI Codex und Anthropics Claude Code, allein durch eine Textdatei im Downloads-Ordner eines Nutzers gekapert werden können, wie BleepingComputer berichtet. Der Angriff erfordert keine Software-Schwachstelle, und es gibt keinen Patch, um ihn zu beheben, denn das ausgenutzte Verhalten — das automatische Laden von Anweisungsdateien aus dem Arbeitsverzeichnis durch die Agenten — funktioniert genau wie vorgesehen.

Forscher Gal Weizman sagte gegenüber BleepingComputer, die Technik sei erstmals auf dem Rechner eines Kunden entdeckt worden, wo ein aus dem Downloads-Ordner gestarteter KI-Agent nach dem Lesen der Anweisungen einer platzierten Datei stillschweigend versuchte, ein bösartiges npm-Paket namens „function-color“ zu installieren.

Wie der Angriff funktioniert

KI-Coding-Agenten wie Codex und Claude Code lesen eine Standard-Anweisungsdatei — AGENTS.md für Codex, CLAUDE.md für Claude Code — aus dem Verzeichnis, in dem sie gestartet werden, und behandeln deren Inhalt als vertrauenswürdigen Kontext für die Sitzung. Dieses Verhalten ist eine bewusste, dokumentierte Funktion, die Entwicklern erlauben soll, dem Agenten projektspezifische Hinweise zu geben. Das Problem ist, dass der Agent nicht zwischen einer vom Entwickler geschriebenen Datei und einer Datei unterscheidet, die still und leise von anderswo in den Ordner gelangt ist.

Browser wie Chrome, Edge und Firefox speichern heruntergeladene Dateien standardmäßig in ~/Downloads, und eine bösartige Webseite kann dort mit wenig Nutzerinteraktion eine Datei ablegen. Startet ein Nutzer später einen KI-Agenten aus demselben Ordner — laut Forever Security eine gängige Praxis bei Kunden, um neue Downloads zu organisieren oder auf gerade erhaltene Dateien zu reagieren —, lädt der Agent jede Anweisung in der platzierten Datei und folgt ihr, ohne jede Warnung, dass die Datei nicht vom Entwickler stammt.

In Tests reproduzierten die Forscher den Angriff gegen mehrere Agenten. Eine harmlose Proof-of-Concept-Payload, die lediglich die Taschenrechner-App öffnete, gelang in 90% der Versuche gegen OpenAI Codex. Gegen Claude Code leitete eine bösartige CLAUDE.md-Datei den API-Traffic des Agenten auf einen vom Forscher kontrollierten Server um und legte das OAuth-Authentifizierungstoken des Nutzers offen; Tool-Aufrufe führten in etwa der Hälfte der Testläufe vom Angreifer gewählten Code aus. Cursor CLI wurde ebenfalls unter den Agenten genannt, die Kunden häufig aus dem Downloads-Ordner starten, war aber nicht unter den direkt getesteten Zielen aufgeführt.

Warum dies kein Bug ist, den eines der beiden Unternehmen patchen kann

Forever Security war unverblümt bezüglich der Natur des Problems: „Hier gibt es nichts, was OpenAI oder Anthropic patchen könnten.“ Das Laden einer Anweisungsdatei aus dem Arbeitsverzeichnis ist das beabsichtigte Design dieser Tools, kein Fehler im Code — die Schwachstelle liegt in der Annahme, dass jeder Ordner, aus dem ein Nutzer zufällig einen Agenten startet, ein sicherer, vertrauenswürdiger Arbeitsbereich ist. Die interne Telemetrie von Forever Security zeigt das Ausmaß dieser Gefährdung: Hunderte seiner Kunden lassen routinemäßig KI-Agenten aus dem Downloads-Ordner laufen, und allein Claude Code wurde von diesem Ort aus in mehr als 1.300 erfassten Sitzungen gestartet.

Was man dagegen tun kann

Der Minderungsrat der Forscher ist eng gefasst, aber konkret: Legen Sie niemals ~/Downloads oder einen breiten Ordner wie ein Home-Verzeichnis als Arbeitsverzeichnis eines KI-Agenten fest — starten Sie Agenten nur innerhalb eines spezifischen, bekannten Projekt-Root-Verzeichnisses. Prüfen Sie jede unbekannte AGENTS.md-, CLAUDE.md- oder ähnliche Anweisungsdatei von Hand, bevor Sie einem Agenten erlauben, danach zu handeln, lassen Sie die eingebauten Zustimmungsabfragen und Sandboxing-Schutzmaßnahmen der Tools aktiviert, statt sie aus Bequemlichkeit zu deaktivieren, und behandeln Sie jeden Code, den ein Agent für nicht vertrauenswürdige Eingaben auszuführen vorschlägt, als etwas, das zuerst in einer isolierten Umgebung getestet werden sollte.

Die Enthüllung erfolgt, während KI-Coding-Agenten in Engineering-Teams breit eingeführt werden — gerade weil sie autonom auf dem Rechner eines Entwicklers handeln können, was genau die Eigenschaft ist, die dieser Angriff ausnutzt. Mit wachsender Agenten-Adoption gesellt sich die Vergiftung von Anweisungsdateien zur Prompt-Injektion als Angriffsklasse, die die Software überhaupt nicht brechen muss, sondern nur ausnutzt, wie sehr die Software darauf ausgelegt ist, ihrer Umgebung zu vertrauen.