Компрометиране на софтуерни ИИ агенти чрез манипулирани AGENTS.md файлове в директорията Downloads
Източник: DHSgov / Wikimedia Commons
Експерти по киберсигурност разкриха опасен нов вектор за атака срещу софтуерни инженери, използващи автономни кодиращи асистенти, при който атакуващият поема пълен контрол над работната станция чрез компрометиран файл с инструкции в папката Downloads [1]. Уязвимостта експлоатира масовото въвеждане на стандарта AGENTS.md спецификация за конфигуриране на агентно поведение.
Атаката принадлежи към класа на непряката промпт инжекция (Indirect Prompt Injection). Когато разработчик свали архив с код от интернет (например публичен репозиториум или демо проект) и нареди на своя агент да анализира съдържанието, агентът автоматично прочита файла AGENTS.md. Скрити вътре зловредни директиви инструктират модела да пренебрегне правилата за безопасност и тихомълком да изпълни curl заявка за ексфилтрация на API ключове и SSH сертификати към команден сървър на нападателя.
Експлоатация на системния авторитет и атаки срещу веригата за доставки
Сериозността на този инцидент произтича от факта, че кодиращите инструменти са проектирани да се доверяват безрезервно на конфигурационните файлове в проектната директория. В стремежа си да следват контекста на разработчика, агентите третират инструкциите от AGENTS.md с по-висок приоритет от базовите системни предпазни клаузи.
Този механизъм представлява нов тип атака срещу веригата за доставки (Supply Chain Attack), насочен специално срещу сигурността на агентните системи (Agentic Security). Вместо да инжектира зловреден код в компилираните бинарни файлове или зависимост в npm/pip пакетите – което лесно се засича от традиционните антивирусни скенери – нападателят използва напълно легитимен английски текст, за да манипулира когнитивните разсъждения на самия кодиращ интелект.
Дългосрочни изисквания за runtime защита
Инцидентът с AGENTS.md поставя болезнен край на ерата на наивно доверие в автономните инструменти. Разработчиците вече не могат да третират промптовете като безопасни текстови данни; в ерата на агентите текстът е изпълним код с потенциално опустошителни привилегии.
В дългосрочен план ще се наложи задължителното въвеждане на стриктна сигурност по време на изпълнение (Runtime Security). Агентните платформи трябва да въведат строго разделение на привилегиите, при което инструкции, прочетени от външни или ненадеждни файлове, никога нямат право да инициират мрежова комуникация или достъп до директории извън изолирания проект. Без сертифициран контролен филтър между езиковия модел и системната обвивка, използването на автономни агенти в корпоративни среди представлява неприемлив риск за данните.
Четири етапа на атаката с непряка промпт инжекция през свалени файлове