Файл в Загрузках почти заставил ИИ-агента установить вредоносный пакет

Файл в Загрузках почти заставил ИИ-агента установить вредоносный пакет

Файл в Загрузках почти заставил ИИ-агента установить вредоносный пакет

Текстовый файл в папке «Загрузки» оказался инструкцией для атаки. Forever Security обнаружила на компьютере клиента AGENTS.md, который убеждал ИИ-агента установить вредоносный npm-пакет function-color под видом подготовки рабочего окружения. Попытку остановили до выполнения кода. Как файл попал на устройство, установить не удалось.

Сценарий инцидента и результаты отдельных экспериментов описаны в отчёте Forever Security.

AGENTS.md — обычный файл с правилами работы для кодинг-агента. Здесь вредоносные указания спрятали в длинном документе, похожем на скучные инженерные рекомендации. Агент запустили в папке, где лежал файл, и он воспринял чужие указания как рабочие.

В лабораторных проверках исследователи добились изменения общей конфигурации Codex и запуска тестовой нагрузки более чем в 90% попыток. Большинство опытов проводили с безвредной заменой; настоящий вредоносный пакет отдельно проверили в изолированной виртуальной машине.


Для Claude Code разработали другой вариант: файл CLAUDE.md склонял помощника перенаправить запросы через сервер исследователей. Это позволило получить OAuth-токен и подменять ответы модели.


Сам по себе Markdown ничего не запускает. Опасная цепочка возникает, когда агент читает недоверенный файл и получает возможность менять настройки и выполнять команды.

Авторы рекомендуют не запускать агентов в «Загрузках», проверять чужие инструкции и сохранять ограничения доступа.

Подпишитесь на новости

Потерянный паспорт можно признать недействительным через Госуслуги

Если потеряли паспорт, сообщить об этом МВД теперь можно онлайн. На «Госуслугах» доступно заявление о признании документа недействительным после потери или кражи. Но есть, как говорится, нюанс: отправленное обращение нельзя отозвать.

Порядок подачи заявления разъяснила миграционная служба МВД России. Срок оказания услуги составляет один день.

Потребуются подтверждённая учётная запись, данные утраченного паспорта и описание обстоятельств его пропажи. На портале нужно выбрать соответствующую услугу, указать причину — потерю или кражу, выбрать подразделение МВД и отправить заявление.

Если документ украли, дополнительно понадобятся сведения из талона-уведомления: номер, дата и подразделение полиции, куда подавали заявление о краже.

Подать заявление можно только за себя. Признать чужой паспорт недействительным через собственный аккаунт сервис не позволяет.

Главная оговорка — необратимость обращения. Даже если паспорт обнаружится в другой сумке через пять минут после отправки, документ всё равно признают недействительным. Поэтому перед нажатием кнопки стоит проверить карманы, сумки и привычные тайники.

Сервис позволяет быстрее сообщить об утрате и снизить риск использования документа мошенниками.

RSS: Новости на портале Anti-Malware.ru