AGENTS.md w Download nakłonił Codex i Claude Code do malware

Badacze z Forever Security odtworzyli atak, w którym plik z instrukcjami w folderze Download skłonił Codex (OpenAI) i Claude Code (Anthropic) do zainstalowania złośliwego kodu. Całość wyszła na jaw 26.10.2026. Firma deklaruje, że przechwyciła atak na maszynie klienta i zatrzymała go, zanim wyrządził znaczące szkody. Tę część masz więc jako słowo firmy, a nie niezależnie potwierdzony fakt.

Notatki techniczne, które okazały się rozkazem

Zaczęło się od dokumentu znalezionego na komputerze klienta. Wyglądał jak zbiór technicznych notatek, a w środku miał polecenia: dystrybuj malware i wykradnij dane sesji. Plik nazywał się AGENTS.md. To nazwa, której używa się do przekazywania agentom programistycznym wskazówek, jak pracować w projekcie.

Skąd plik się wziął, nie ustalono. Badacze podejrzewają pobranie uruchomione z przeglądarki przez skompromitowaną stronę. Sam niczego nie musiałeś instalować, a plik i tak mógł wylądować w Download.

Dlaczego agent posłuchał pliku, który znalazł na dysku

Mechanizm nazywa się prompt injection: instrukcje podsunięte przez atakującego trafiają do materiałów, które asystent czyta w trakcie pracy, i są traktowane jak polecenia do wykonania. Markdown to zwykły tekst. Kłopot zaczyna się, gdy asystent ma dostęp do narzędzi i potrafi zamienić ten tekst w konkretne operacje na komputerze.

Decydujący jest moment, w którym agent nadaje dokumentowi autorytet. Plik pobrany z przeglądarki staje się rozkazem, gdy agent uzna go za wiarygodny i ma uprawnienia, żeby go wykonać. Asystent z dostępem do terminala, który czyta plik z Download jak polecenie szefa, przypomina kuriera wykonującego instrukcje z karteczki znalezionej na wycieraczce.

Stary pakiet, nowa przynęta

Instrukcje wskazywały na instalację function-color, pakietu npm uznanego za złośliwy. Według analizy Forever Security kod pochodził z osobnej kampanii sprzed około dwóch lat i przez ten czas pozostał niezauważony. Atak połączył więc świeżą przynętę skierowaną do agenta ze starym, już istniejącym szkodnikiem pobranym z ekosystemu pakietów.

Badacze nie widzą tu pojedynczego błędu w kodzie. Ich zdaniem zachowanie wynika ze sposobu, w jaki te narzędzia dostają instrukcje projektu. Odtworzenie ataku na dwóch różnych asystentach wskazuje na uprawnienia do wykonywania poleceń i zaufanie do lokalnych plików, a nie na wpadkę jednego producenta. O tym, jak ważny jest system wokół modelu, piszemy w tekście o harness engineeringu.

Trzy elementy, bez których łańcuch się rwie

Atak wymaga kilku warunków naraz. Jeśli zepsujesz którykolwiek, przestaje działać:

• folder dostępny dla pobrań z przeglądarki, w którym ląduje podrzucony plik,
• agent, który uruchamia się w tym miejscu i czyta znalezione dokumenty,
• uprawnienia agenta do wykonywania poleceń, bez zatrzymania na zatwierdzenie.

Nie musisz być programistą, żeby to ogarnąć. Jeśli ktoś w Twoim zespole używa agentów do kodu, a Ty odpowiadasz za bezpieczeństwo danych firmy, te trzy punkty pozwalają zadać konkretne pytania zamiast kiwać głową. Skala użycia agentów w polskich firmach jest zresztą spora, co opisujemy w tekście o agentach w polskiej pracy.

Lista kontrolna od badaczy i zadanie na dziś

Forever Security publikuje wskazówki, które da się sprawdzić w kwadrans:

• Nie uruchamiaj agentów w folderze Download.
• Sprawdzaj dokumenty z instrukcjami, których nie tworzyłeś, także w sklonowanych repozytoriach.
• Zostaw włączone sandboxy i prośby o zatwierdzenie. Uważaj na teksty, które każą asystentowi je obejść.
• W Claude Code zajrzyj do pliku .claude/settings.json i poszukaj nieoczekiwanych proxy, endpointów API albo wartości ANTHROPIC_BASE_URL.
• Jeśli coś wygląda na kompromitację, unieważnij i wymień dane uwierzytelniające. Kradzież tokenów sesji może pozwolić atakującemu używać wciąż aktywnej sesji.

Werdykt jest prosty: agent z dostępem do terminala to wygodne narzędzie, ale każdy plik, który czyta, może stać się dla niego poleceniem. Sprawdź to dziś. Otwórz folder Download i poszukaj tam AGENTS.md. Potem zrób to samo w ostatnio sklonowanych repozytoriach. Jeśli używasz Claude Code, przejrzyj .claude/settings.json pod kątem obcych adresów. Więcej o tym, co Claude Code potrafi w praktyce, znajdziesz w tekście o użyciu go przez Torvaldsa i w materiale o kursie Claude Code.