KIungefiltert

· 3 Min. Lesezeit · Read in English

Manipulierte AGENTS.md im Downloads-Ordner: KI-Coding-Agent sollte Malware installieren

Eine manipulierte AGENTS.md im Downloads-Ordner sollte Codex ein bösartiges npm-Paket installieren lassen. Gestoppt vor Codeausführung, aber im Labor klappte es oft. Einen Patch gibt es nicht.

SicherheitKI

Die Sicherheitsfirma Forever Security hat auf dem Rechner eines Kunden etwas gefunden, das man sich bisher eher theoretisch ausgemalt hat: eine präparierte Anweisungsdatei, die einen KI-Coding-Agenten dazu bringen sollte, Malware zu installieren. Der Agent wurde gestoppt, bevor Code lief. Seit meinem ersten Post sind aber Details bekannt geworden, die das Ganze ernster machen.

Was passiert ist

KI-Coding-Agenten wie OpenAI Codex oder Claude Code lesen beim Start automatisch Anweisungsdateien im Arbeitsverzeichnis, also dem Ordner, in dem man sie startet. Bei Codex heißt diese Datei AGENTS.md, bei Claude Code CLAUDE.md. Darin stehen normalerweise Projektregeln wie „nutze pnpm“ oder „Tests liegen in /test“. Der Agent behandelt den Inhalt als Arbeitsanweisung.

Laut BleepingComputer war das Arbeitsverzeichnis des Kunden sein Downloads-Ordner. Dort lag eine AGENTS.md, getarnt als gewöhnliche Entwicklernotizen. Sie wies den Agenten an, das npm-Paket „function-color“ zu installieren. npm ist der Paketmanager für JavaScript. Nach The Hacker News zieht dieses Paket ein weiteres nach („function-flag“), das als Downloader eine Windows-Schadsoftware nachlädt und ausführt. Zusätzlich sollte Codex einen Server in seine globale Konfiguration eintragen. Die Änderung hätte also auch Sitzungen in ganz anderen Ordnern betroffen.

Wie die Datei in den Ordner kam, ist weiterhin unklar. Forever Security hat gezeigt, dass eine Webseite eine Datei namens AGENTS.md in den Downloads-Ordner legen kann. Chrome, Edge und Firefox speichern dort standardmäßig und zeigen nur eine Benachrichtigung. BleepingComputer hat diesen Proof of Concept, also einen Machbarkeitsnachweis, mit einer harmlosen Datei nachvollzogen. Ob ein echter Angreifer genau diesen Weg genutzt hat, ist aber nicht belegt.

Neu seit dem Post: Labor-Ergebnisse und kein Patch

Beim Kunden blieb es beim Versuch. Im Labor sah es anders aus:

  • Codex: Laut BleepingComputer funktionierte ein harmloser Test-Payload (Öffnen des Taschenrechners) in rund 90 Prozent der Versuche.
  • Claude Code: Eine präparierte CLAUDE.md, getarnt als interne Gateway-Konfiguration, sollte den API-Verkehr auf einen Server der Forschenden umleiten. Damit wäre das Login-Token offengelegt worden, und der Server hätte sich als Modell ausgeben und Befehle zurückschicken können. Das gelang in etwa der Hälfte der Fälle. Claude fragt bei solchen Änderungen meist nach Freigabe und lehnt Verdächtiges oft ab.

Einen Patch wird es nicht geben. Forever Security sagt selbst, dass OpenAI und Anthropic nichts zu reparieren haben. Der Agent tut genau das, wofür er gebaut ist: Er folgt den Anweisungen im Arbeitsverzeichnis. Eine Stellungnahme der Hersteller nennen beide Berichte nicht. Laut BleepingComputer empfehlen beide ohnehin, Agenten im Projektordner zu starten.

Warum das wichtig ist

Das ist im Kern eine Prompt-Injection: Fremder Text wird vom Modell als Befehl behandelt. Neu ist der Ort. Kein präpariertes Repository, keine manipulierte Webseite im Chat, sondern ein Ordner, in dem jeder Browser ungefragt Dateien ablegt. Und das ist kein Randfall. Laut BleepingComputer starten Hunderte Kunden von Forever Security Agenten wie Claude Code, Codex oder Cursor CLI aus dem Downloads-Ordner, allein bei Claude Code waren es über 1.300 Sitzungen.

Ich halte das für einen Weckruf. Anweisungsdateien sehen aus wie Doku, wirken aber wie ein Skript mit den Rechten des Agenten. Und die sind oft dieselben wie deine eigenen.

Wer betroffen ist

Alle, die KI-Coding-Agenten lokal nutzen, besonders wenn sie die Agenten im Downloads- oder Home-Ordner starten. Bestätigt ist bisher ein gestoppter Versuch bei einem Kunden, ein Schaden ist nicht bekannt.

Was du konkret tun solltest

  • Agenten nie im Downloads- oder Home-Ordner starten. Immer im Wurzelverzeichnis des jeweiligen Projekts.
  • Fremde AGENTS.md, CLAUDE.md und ähnliche Dateien lesen, bevor der Agent sie liest. Das gilt auch für frisch geklonte Repositories.
  • Konfiguration prüfen: Bei Codex die config.toml auf unbekannte Server-Einträge, bei Claude Code die settings.json auf eine unerwartete ANTHROPIC_BASE_URL oder fremde API-Endpunkte.
  • Freigabe-Abfragen und Sandbox eingeschaltet lassen. Misstrauisch werden, wenn eine Datei den Agenten auffordert, sie abzuschalten.
  • Paketinstallationen nur nach Freigabe. Kein „auto-approve“ für npm, pip und Co.
  • Bei Fund Token rotieren. Wer eine untergeschobene Datei findet, sollte davon ausgehen, dass das Login-Token abgeflossen ist.
  • Unbekannten Code isoliert testen, etwa in einer VM oder einem Container.

Kurz gesagt: Behandle Anweisungsdateien wie fremden Code. Denn für deinen Agenten sind sie genau das.

Quellen