Forever Securityは、悪意あるMarkdown形式の指示文を使い、AIコーディングエージェントをマルウェアのインストール手段に変える攻撃を報告しました。
研究者らは、悪意あるnpmパッケージfunction-colorをインストールしようとしたエージェントの動作をブロックした後、顧客の~/Downloadsフォルダ内にAGENTS.mdファイルがあることを発見しました。同社によると、インストールはコードが実行される前に阻止されたということです。
このファイルは一見すると、通常のエンジニアリング向けガイダンスのように見えます。しかし実際には、エージェント自身の設定を変更させ、攻撃者が管理するツールを準備させる内容でした。
Foreverはその後、この手法をOpenAI Codexに対して再現しました。さらにClaude Codeに対しては別の攻撃を開発し、ログイントークンの露出とコード実行が可能になることを確認しました。
コーディングエージェントは、プロジェクトのルールや開発タスクを把握するために指示ファイルを読み込みます。今回の攻撃は、この信頼関係を悪用し、エージェントが正当なガイダンスとして扱う文書の中に悪意ある指示を紛れ込ませます。
テキスト自体が単独で実行されることはありません。危険な状態を生み出すのは、エージェントが持つ権限と、その権限で行う操作です。
Foreverは、Webサイトが指示ファイルをDownloadsフォルダに配置し、続いてエージェントがそのフォルダを開いて内容に従うという流れを実証しました。
ただし、元の顧客のマシンにファイルがどのように届いたのかは、研究者らも特定できていません。Webサイト経由の配布経路はテスト中に実証されたもので、今回のインシデントで確認されたわけではありません。
Codexに対する攻撃では、悪意ある文書が日常的な環境セットアップを装っていました。この文書はエージェントに対し、~/.codex/config.tomlにModel Context Protocol（MCP）サーバーのエントリを追加するよう指示します。そのうえで、承認とサンドボックス保護を回避した状態で別のCodexセッションを起動させます。設定されたコマンドはfunction-colorをインストールしました。
この変更はユーザーのグローバル設定に及ぶため、以後のCodexセッションは、他のプロジェクトフォルダからでも攻撃者のコマンドを起動し得ます。
Foreverによると、Codexに対するテストでは90%超で成功しました。テストの大半は無害な電卓ペイロードを使用しています。本物の悪意あるパッケージは、隔離した仮想マシン内で別途テストしました。
Checkmarxは以前、function-colorをnpmキャンペーン「MALFEX」と関連付けています。このパッケージはfunction-flagのラッパーとして動作します。function-flagの悪意あるインストールルーチンは、Windows向けペイロードをダウンロードして起動します。
Claude Codeでの実証では、元の攻撃者のファイルではなく、特別に細工したCLAUDE.mdを使用しました。これによりエージェントを説得し、攻撃者が管理するANTHROPIC_BASE_URLを.claude/settings.jsonに書き込ませています。
その後、APIリクエストが研究者らのサーバーに届き、OAuthトークンが露出しました。研究者らはこのトークンを、正規のサービスに対して再利用することに成功しています。
管理下のサーバーは、コマンド実行につながるツール指示を返すこともできました。Foreverの説明によると、Claudeが設定変更を受け入れたのはテストの約半数でした。一方、生成されたサブエージェントを介した同一セッション内での実行は、それより少ない頻度にとどまりました。
開発者は、Downloadsフォルダ内でコーディングエージェントを起動しないようにし、見慣れないAGENTS.mdやCLAUDE.mdは使用前に内容を確認する必要があります。
Codexの設定に想定外のMCPサーバーがないか、Claudeの設定に未知のAPIエンドポイントやプロキシがないかを点検してください。承認プロンプトとサンドボックス制御は有効にしておくことが重要です。
ANY.RUNを導入する1万6,000以上のSOCチームに加わり、脅威調査を効率化して手作業を削減しましょう。チームで試してみる
翻訳元: https://cyberpress.org/malicious-agents-md-hijacks-agents/
