یک فایل AGENTS.md مخرب در پوشه دانلودهای شما می‌تواند یک دستیار برنامه‌نویسی هوش مصنوعی را تصاحب کند

محققان امنیتی شرکت Forever Security نشان داده‌اند که دستیارهای محبوب برنامه‌نویسی هوش مصنوعی، از جمله OpenAI Codex و Claude Code متعلق به Anthropic، می‌توانند تنها با یک فایل متنی که در پوشه دانلودهای کاربر قرار دارد تصاحب شوند؛ این موضوع را BleepingComputer گزارش کرده است. این حمله به هیچ آسیب‌پذیری نرم‌افزاری نیاز ندارد و هیچ پچی برای رفع آن وجود ندارد، زیرا رفتاری که مورد سوءاستفاده قرار می‌گیرد — بارگذاری خودکار فایل‌های دستورالعمل از دایرکتوری کاری توسط دستیارها — دقیقاً همان‌طور که طراحی شده کار می‌کند.

محقق گال وایزمن به BleepingComputer گفت این تکنیک برای نخستین‌بار روی دستگاه یک مشتری مشاهده شد، جایی که یک دستیار هوش مصنوعی که از پوشه دانلودها اجرا شده بود، پس از خواندن دستورالعمل‌های یک فایل کاشته‌شده، به‌آرامی تلاش کرد یک بسته npm مخرب به نام «function-color» را نصب کند.

این حمله چگونه کار می‌کند

دستیارهای برنامه‌نویسی هوش مصنوعی مانند Codex و Claude Code یک فایل دستورالعمل استاندارد — AGENTS.md برای Codex، CLAUDE.md برای Claude Code — را از هر دایرکتوری‌ای که در آن اجرا می‌شوند می‌خوانند و محتوای آن را به‌عنوان زمینه قابل‌اعتماد برای آن جلسه در نظر می‌گیرند. این رفتار یک ویژگی عمدی و مستند است که هدف آن این است که توسعه‌دهندگان بتوانند راهنمایی‌های خاص پروژه به دستیار بدهند. مشکل این است که دستیار بین فایلی که توسعه‌دهنده نوشته و فایلی که به‌آرامی از جای دیگری در پوشه قرار گرفته تفاوتی قائل نمی‌شود.

مرورگرهایی از جمله کروم، اج، و فایرفاکس به‌طور پیش‌فرض فایل‌های دانلودشده را در ~/Downloads ذخیره می‌کنند، و یک صفحه وب مخرب می‌تواند بدون تعامل زیاد کاربر، فایلی را آنجا قرار دهد. اگر کاربر بعداً یک دستیار هوش مصنوعی را از همان پوشه اجرا کند — کاری که طبق گفته Forever Security مشتریان معمولاً برای سازمان‌دهی دانلودهای جدید یا اقدام روی فایل‌هایی که تازه دریافت کرده‌اند انجام می‌دهند — دستیار هر دستورالعملی را که فایل کاشته‌شده دارد بارگذاری و دنبال می‌کند، بدون هیچ هشداری مبنی بر اینکه این فایل از توسعه‌دهنده نیامده است.

در آزمایش‌ها، محققان این حمله را در برابر چندین دستیار بازتولید کردند. یک بار آزمایشی بی‌ضرر که صرفاً برنامه ماشین‌حساب را باز می‌کرد، در ۹۰ درصد تلاش‌ها علیه OpenAI Codex موفق شد. علیه Claude Code، یک فایل CLAUDE.md مخرب ترافیک API دستیار را به سروری تحت کنترل محقق هدایت کرد و توکن احراز هویت OAuth کاربر را افشا کرد؛ فراخوانی ابزارها در حدود نیمی از اجراهای آزمایشی کد انتخاب‌شده توسط مهاجم را اجرا کردند. Cursor CLI نیز در میان دستیارهایی که مشتریان معمولاً از پوشه دانلودها اجرا می‌کنند نام برده شد، هرچند جزو اهداف مستقیماً آزمایش‌شده فهرست نشده بود.

چرا این یک باگ نیست که هیچ‌کدام از دو شرکت بتوانند پچ کنند

Forever Security صریحاً درباره ماهیت این مشکل گفت: «اینجا چیزی برای پچ‌کردن توسط OpenAI یا Anthropic وجود ندارد.» بارگذاری یک فایل دستورالعمل از دایرکتوری کاری، طراحی عمدی این ابزارها است، نه یک نقص در کد آن‌ها — آسیب‌پذیری در این فرض نهفته است که هر پوشه‌ای که کاربر اتفاقاً یک دستیار را از آن اجرا می‌کند، یک فضای کاری امن و قابل‌اعتماد است. تله‌متری داخلی Forever Security مقیاس این آسیب‌پذیری را نشان می‌دهد: صدها مشتری این شرکت به‌طور معمول دستیارهای هوش مصنوعی را از پوشه دانلودها اجرا می‌کنند، و تنها Claude Code در بیش از ۱۳۰۰ جلسه ثبت‌شده از آن مکان اجرا شده است.

چه باید کرد

توصیه محققان برای کاهش ریسک محدود اما مشخص است: هرگز ~/Downloads یا هر پوشه گسترده‌ای مانند دایرکتوری خانگی را به‌عنوان دایرکتوری کاری یک دستیار هوش مصنوعی تنظیم نکنید — دستیارها را فقط درون ریشه یک پروژه خاص و شناخته‌شده اجرا کنید. هر فایل AGENTS.md، CLAUDE.md، یا دستورالعمل مشابه ناآشنا را پیش از اجازه‌دادن به دستیار برای عمل‌کردن روی آن، به‌صورت دستی بررسی کنید، پیام‌های تأیید داخلی ابزارها و حفاظت‌های سندباکس را فعال نگه دارید به‌جای غیرفعال‌کردن آن‌ها برای راحتی بیشتر، و هر کدی را که دستیار پیشنهاد می‌دهد روی ورودی غیرقابل‌اعتماد اجرا کند، ابتدا در یک محیط ایزوله آزمایش کنید.

این افشاگری درست زمانی مطرح می‌شود که دستیارهای برنامه‌نویسی هوش مصنوعی به‌طور گسترده در تیم‌های مهندسی پذیرفته می‌شوند، دقیقاً به این دلیل که می‌توانند به‌صورت خودمختار روی دستگاه یک توسعه‌دهنده عمل کنند — همان ویژگی‌ای که این حمله از آن سوءاستفاده می‌کند. با رشد پذیرش دستیارها، مسموم‌سازی فایل دستورالعمل به تزریق پرامپت به‌عنوان یک دسته حمله می‌پیوندد که اصلاً نیازی به شکستن نرم‌افزار ندارد، بلکه فقط از میزان اعتمادی که نرم‌افزار طراحی شده تا به محیط اطراف خود داشته باشد، سوءاستفاده می‌کند.