هشدار به برنامه‌نویسان؛ خطر نفوذ به ایجنت‌های هوش مصنوعی با فایلی ساده در پوشه دانلود

پژوهشگران امنیتی یک فایل راهنمای متنی مخرب با نام AGENTS.md را در پوشه دانلودهای یکی از کاربران شناسایی کرده‌اند که عامل هوشمند کدنویسی را فریب داده و آن را به نصب یک بسته مخرب در سامانه npm وادار کرده است.

محققان موفق شدند این حمله را روی ابزار OpenAI Codex شبیه‌سازی کنند و همچنین شیوه مشابهی را علیه Claude Code به کار گرفتند که تنها با تکیه بر دستورالعمل‌های متنی، توکن‌های دسترسی OAuth را فاش می‌کرد و به سرقت حساب کاربری منجر می‌شد.

فایل‌های مارک‌داون مانند AGENTS.md اسناد متنی ساده‌ای هستند که دستورهای اختصاصی پروژه را برای ایجنت‌های کدنویسی مشخص می‌کنند؛ دستوراتی مانند ابزارهای مورد استفاده، روش اجرای تست‌ها و قواعد برنامه‌نویسی که هوش مصنوعی باید رعایت کند.

اجرای ناخواسته دستورهای مخرب توسط ایجنت‌ها

محققان شرکت Forever Security، که ریسک‌های امنیتی ناشی از عامل‌های هوش مصنوعی و نرم‌افزارهای خودکار را بررسی می‌کند، این شیوه نفوذ را روی رایانه یکی از مشتریان خود شناسایی کردند؛ جایی که یک ایجنت کدنویسی قصد داشت بسته مخرب npm با نام «function-color» را نصب کند.

بررسی‌ها نشان داد که تلاش ایجنت هوش مصنوعی برای نصب این بسته مخرب، از فایل AGENTS.md موجود در پوشه دانلودهای کاربر (مسیر ~/Downloads) سرچشمه گرفته است؛ پوشه‌ای که در آن زمان به‌عنوان دایرکتوری کاری ایجنت تعیین شده بود.

عامل‌های هوشمند به‌طور خودکار فایل‌های راهنما را از پوشه کاری جاری خود بارگذاری می‌کنند و از دستورالعمل‌های موجود در آن‌ها برای هدایت رفتارهای خود بهره می‌گیرند.

هرچند این فایل‌ها فرمت اجرایی ندارند، اما دستورهای متنی موجود در آن‌ها می‌تواند ایجنت‌های هوش مصنوعی را ترغیب کند تا با استفاده از دسترسی‌ها و ابزارهای خود، دستورهای سیستمی خطرناکی را اجرا کنند، بسته‌های مخرب را نصب نمایند یا تنظیمات دستگاه را تغییر دهند.

پژوهشگران در گزارش خود اعلام کرده‌اند: «در این سناریو، هیچ نقصی وجود ندارد که OpenAI یا Anthropic نیاز به وصله کردن آن داشته باشند؛ زیرا ایجنتی که فایل AGENTS.md موجود در پوشه کاری خود را می‌خواند و اجرا می‌کند، دقیقاً همان کاری را انجام می‌دهد که برای آن طراحی شده است.»

آزمایش‌های این تیم نشان داد که مهاجمان می‌توانند با استفاده از چنین فایلی، ابزارهای OpenAI Codex و Claude Code را به اجرای کدهای دلخواه یا سرقت داده‌های هویتی وادار کنند.

اگرچه محققان نتوانستند مسیر دقیق ورود این فایل متنی به پوشه دانلود کاربر را ردیابی کنند، اما توضیح دادند که صرفاً بازدید از یک صفحه وب آلوده می‌تواند بدون نیاز به هیچ تعاملی از سوی کاربر، چنین فایلی را روی سیستم دانلود کند.

شرکت Forever Security در گزارش خود تأکید می‌کند: «پوشه ~/Downloads جایگاهی ویژه دارد؛ این پوشه تنها مسیری است که وب‌سایت‌ها می‌توانند به‌طور خودکار در آن فایل بنویسند و یک صفحه وب می‌تواند فایلی با نام AGENTS.md را بی‌صدا در پوشه دانلود شما ذخیره کند.»

پژوهشگران با طراحی یک صفحه اثبات مفهوم (PoC) نشان دادند که حمله چطور می‌تواند بدون متوجه شدن کاربر، فایلی را در پوشه ~/Downloads قرار دهد.

در بررسی‌های عملی روی صفحه اثبات مفهوم، مشخص شد که این صفحه فایلی با نام AGENTS.md حاوی متون بی‌خطری مثل عبارات «sensitive data here» و «line 2» را به‌شکل خودکار دانلود می‌کند.

به‌صورت پیش‌فرض، بسیاری از مرورگرهای پرطرفدار مانند کروم، اج و فایرفاکس، فایل‌های دانلودشده از وب را بدون درخواست انتخاب محل ذخیره، مستقیماً در پوشه ~/Downloads کاربر قرار می‌دهند.

بررسی‌ها روی مرورگرهای دیگری مانند Brave نشان داد که این برنامه برای ذخیره فایل از کاربر تأییدیه می‌گیرد که همین هشدار برای آگاه کردن کاربر از دانلود یک فایل کفایت می‌کند.

با این وجود، مرورگرهای کروم، اج و فایرفاکس نیز اعلان ذخیره فایل را نمایش می‌دهند تا کاربران از دانلود محلی آن باخبر شوند، گرچه این اعلان ممکن است نادیده گرفته شود.

پس از قرار گرفتن فایل در پوشه دانلود، نفوذگر برای پیشبرد حمله به این نیاز دارد که کاربر، ایجنت هوش مصنوعی خود را در همان پوشه اجرا کند تا برنامه بتواند دستورالعمل‌های مخرب را بخواند و به کار ببندد.

گال وایزمن (Gal Weizman)، از پژوهشگران شرکت Forever Security، توضیح می‌دهد که اجرای ابزارها در این مسیر اتفاقی متداول است؛ چراکه کاربران اغلب از ایجنت‌های هوش مصنوعی برای ساماندهی پوشه دانلود یا کار با فایل‌های تازه دریافت‌شده استفاده می‌کنند.

به گفته این محقق، داده‌های آماری نشان می‌دهد صدها کاربر ایجنت‌های هوش مصنوعی مختلف نظیر Claude Code، ابزار OpenAI Codex و رابط Cursor CLI را مستقیماً از پوشه ~/Downloads اجرا کرده‌اند؛ به طوری که ابزار Claude Code به‌تنهایی بیش از ۱٬۳۰۰ بار در این مسیر راه‌اندازی شده است.

آزمایش‌ها عملی بودن نفوذ را اثبات می‌کنند

محققان زنجیره حمله بازسازی‌شده را روی Codex با یک دستور بی‌خطر که صرفاً برنامه ماشین‌حساب را باز می‌کرد آزمایش کردند و به نرخ موفقیت ۹۰ درصدی دست یافتند.

در آزمایشی مجزا، آن‌ها با استفاده از یک فایل CLAUDE.md مخرب، ترافیک ارتباطی Claude Code را به سمت سروری تحت کنترل خود هدایت کردند. این نفوذ موجب افشای توکن دسترسی OAuth شد و به سرور اجازه داد تا در حدود ۵۰ درصد از تست‌ها، خود را به‌جای مدل اصلی جا زده و دستورهای دلخواه را اجرا کند.

پژوهشگران تأکید می‌کنند که این تهدید ناشی از تلفیق رفتارهای استاندارد مرورگرها و عملکرد طبیعی ایجنت‌ها است؛ موضوعی که مسئولیت پیشگیری و ایمن‌سازی را مستقیماً بر دوش کاربر می‌گذارد.

کاربران نباید پوشه ~/Downloads را به‌عنوان مسیر کاری ایجنت‌های کدنویسی انتخاب کنند؛ زیرا این فضا ممکن است حاوی فایل‌های نامطمئنی باشد که هوش مصنوعی آن‌ها را به اشتباه راهنماهای پروژه تلقی کند.

شرکت‌های OpenAI و Anthropic توصیه می‌کنند ایجنت‌های هوش مصنوعی همیشه درون دایرکتوری اختصاصی پروژه‌ای که قرار است ویرایش شود اجرا شوند.

محدود ساختن دایرکتوری کاری به پروژه مورد نظر، زمینه کاری درستی به ایجنت می‌دهد و با مشخص کردن حریم فعالیت آن، ریسک خواندن فایل‌های متفرقه و خطرناک را تا حد زیادی برطرف می‌سازد.

توصیه مشترک OpenAI و Anthropic این است که ایجنت‌ها به‌جای اجرا در ریشه اصلی سیستم یا دایرکتوری‌های عمومی، دقیقاً از مسیر اصلی همان پروژه فعال شوند تا محدوده اختیارات آن‌ها تا حد امکان محدود بماند و تنها در صورت نیاز دسترسی‌های بیشتر داده شود.

ایده بنیادین این است که دایرکتوری کاری، حریم مجاز ایجنت برای دسترسی به فایل‌های سامانه را تعیین می‌کند و مرز امنیتی آن به شمار می‌رود.

توسعه‌دهندگان باید پیش از اجازه دادن به ایجنت برای پردازش فایل‌هایی مانند AGENTS.md یا CLAUDE.md، محتوای آن‌ها را بررسی کنند، گزینه‌های تأیید دستی دستورات و قرنطینه امنیتی (Sandbox) را روشن نگه دارند و کدهای ناشناس را پیش از اجرا روی رایانه اصلی، در محیطی ایزوله بیازمایند.