ملف AGENTS.md خبيث يستهدف وكلاء البرمجة بالذكاء الاصطناعي

عثر باحثون على ملف تعليمات markdown خبيث باسم AGENTS في مجلد التنزيلات لدى أحد العملاء، خدع وكيل برمجة بالذكاء الاصطناعي ودفعه إلى تثبيت حزمة npm ضارة.

أعاد الباحثون تنفيذ الهجوم على OpenAI Codex، وعرضوا تقنية مشابهة ضد Claude Code لتسريب رموز OAuth واختطاف الحساب باستخدام التعليمات الخبيثة وحدها.

ملفات markdown مثل AGENTS.md هي ملفات نصية بسيطة تحتوي تعليمات خاصة بالمشروع لوكلاء البرمجة بالذكاء الاصطناعي، وتفصّل الأدوات الواجب استخدامها، وكيفية تشغيل الاختبارات، وأعراف البرمجة الواجب اتباعها.

وكلاء ينفذون تعليمات خبيثة

اكتشف باحثون في Forever Security، وهي شركة تراقب المخاطر التي تفرضها وكلاء الذكاء الاصطناعي والبرمجيات المستقلة، هذا التكتيك على حاسوب أحد العملاء، حيث حاول وكيل برمجة تثبيت حزمة npm الخبيثة «_function-color_».

تتبّع التحقيق محاولة وكيل الذكاء الاصطناعي تثبيت حزمة npm الخبيثة إلى ملف AGENTS.md في مجلد ~/Downloads لدى العميل، والذي كان أيضاً دليل عمل الوكيل.

تحمّل الوكلاء تلقائياً الملفات المنطبقة من دليل عملها، وتستخدم التعليمات الواردة فيها لتوجيه أفعالها.

ورغم أن هذه الملفات ليست قابلة للتنفيذ، فإن التعليمات الخبيثة الواردة فيها قد تدفع وكلاء الذكاء الاصطناعي إلى تشغيل أوامر أو تثبيت حزم أو تغيير إعدادات باستخدام الأدوات والصلاحيات المتاحة لها.

وقال الباحثون: «لا يوجد هنا ما يمكن لـ OpenAI أو Anthropic ترقيعه. فالوكيل الذي يتبع ملف AGENTS.md في مجلده يفعل بالضبط ما صُمم لفعله».

أكد اختبار الباحثين أن مهاجماً يمكنه استخدام ملف كهذا لدفع OpenAI Codex وClaude Code إلى تنفيذ تعليمات برمجية أو سرقة بيانات اعتماد.

ورغم أن الباحثين لم يتمكنوا من تحديد كيف وصل ملف التعليمات الخبيث إلى موقع ~/Downloads لدى الهدف، فقد أوضحوا لـ BleepingComputer أن مجرد زيارة صفحة خبيثة قد تُسقط payload دون أي تفاعل من المستخدم.

وقالت Forever Security في تقرير إن «~/Downloads مجلد خاص. فهو المجلد الوحيد الذي يمكن للويب الكتابة فيه من تلقاء نفسه»، مضيفة أن «صفحة ويب يمكنها تنزيل ملف باسم AGENTS.md إلى مجلد التنزيلات لديك بصمت».

عرض إثبات المفهوم

أنشأ الباحثون عرضاً لإثبات المفهوم (PoC) يوضح كيف يمكن للهجوم وضع ملف خبيث في موقع ~/Downloads دون أن يلاحظ المستخدم.

وعندما تحقق BleepingComputer من صفحة PoC، نزّلت ملف AGENTS.md يحتوي محتوى غير ضار، وتحديداً السلسلتين «sensitive data here» و«line 2».

وبشكل افتراضي، تحفظ العديد من المتصفحات الشائعة، ومنها Chrome وEdge وFirefox، الملفات المنزّلة من الويب في دليل ~/Downloads لدى المستخدم دون مطالبتهم باختيار موقع حفظ لكل تنزيل.

أظهرت اختبارات BleepingComputer في متصفحات أخرى، مثل Brave، أن المتصفح يطلب من المستخدم الموافقة على التنزيل، وهو ما ينبغي أن ينبهه إلى أن ملفاً قد نُزّل.

غير أن Chrome وEdge وFirefox تعرض إشعارات التنزيل افتراضياً، فتنبه المستخدمين عند حفظ ملف محلياً.

وبعد إسقاط الملف في مجلد التنزيلات، يتطلب الهجوم أن يشغّل الهدف وكيل الذكاء الاصطناعي في الدليل نفسه ليتمكن من تحميل ملف التعليمات واستيعاب تعليماته الخبيثة.

وقال الباحث في Forever غال وايزمان لـ BleepingComputer إن هذه ممارسة شائعة، إذ يستخدم الناس وكلاء الذكاء الاصطناعي كثيراً لتنظيم ذلك المجلد أو للتعامل مع ملف نُزّل حديثاً.

وأشار وايزمان إلى أن إحصاءات داخلية تُظهر أن مئات العملاء يشغّلون وكلاء ذكاء اصطناعي، ومنهم Claude Code وOpenAI Codex وCursor CLI، من مجلدات ~/Downloads لديهم. ووفقاً للباحث، شغّل Claude Code وحده أكثر من 1300 جلسة من ذلك الموقع.

جدوى الهجوم

اختبر الباحثون سلسلة الهجوم التي أعادوا بناءها ضد Codex باستخدام payload غير ضار يفتح تطبيق الآلة الحاسبة فقط، فحققوا نسبة نجاح 90%.

وفي اختبار منفصل، استخدموا ملف CLAUDE.md خبيثاً لإعادة توجيه حركة واجهة برمجة تطبيقات Claude Code إلى خادم يتحكمون فيه. كشف ذلك رمز OAuth الخاص بالوكيل، ما أتاح للخادم انتحال شخصية النموذج وإرجاع نداءات أدوات نفّذت تعليمات برمجية في نحو 50% من الاختبارات.

يؤكد الباحثون أن الخطر ينبع من اجتماع سلوك المتصفح وسلوك الوكيل كما صُمما، ما يضع مسؤولية الحذر والدفاع على المستخدم مباشرة.

ويُنصح المستخدمون بتجنب تعيين ~/Downloads دليل عمل لوكيل برمجة بالذكاء الاصطناعي، لأن الموقع قد يحتوي ملفات غير موثوقة قد يفسرها الوكيل على أنها تعليمات.

توصي OpenAI وAnthropic بتشغيل وكلاء البرمجة بالذكاء الاصطناعي من دليل المشروع المخصص للعمل عليه.

ويساعد حصر دليل العمل في المشروع المعني على تزويد الوكيل بالسياق المناسب وتحديد نطاق عمله، ما يقلل خطر معالجته ملفات غير موثوقة في مواقع غير ذات صلة.

التوصية المشتركة من OpenAI وAnthropic هي بدء وكيل البرمجة بالذكاء الاصطناعي في جذر المشروع المحدد الذي ينبغي أن يعمل عليه، لا في الدليل الرئيسي للمستخدم أو دليل أب واسع. ويساعد هذا النهج على تحديد سياق المشروع الافتراضي للوكيل ويرسم حدود وصوله إلى نظام الملفات.

وينبغي للمستخدمين مراجعة ملفات AGENTS.md وCLAUDE.md وما شابهها من ملفات التعليمات غير المألوفة قبل السماح لوكيل برمجة بالذكاء الاصطناعي باتباعها، وإبقاء مطالبات الموافقة وحمايات sandbox مفعّلة، واختبار التعليمات البرمجية غير الموثوقة في بيئة معزولة قبل تشغيلها على نظامهم الرئيسي.

 

المصدر: BleepingComputer