Manipulierte AGENTS.md-Datei kann AI-Coding-Agenten zur Codeausführung bringen
Forscher von Forever Security haben einen Angriff demonstriert, bei dem eine manipulierte AGENTS.md-Datei in einem Downloads-Ordner einen AI-Coding-Agenten zur Installation eines bösartigen npm-Pakets brachte. Die Tests betrafen OpenAI Codex und Claude Code; je nach Variante konnten die Forscher Code ausführen oder OAuth-Zugangsdaten offenlegen. Für Unternehmen und datenschutzbewusste Nutzer ist damit nicht die Markdown-Datei selbst das Problem, sondern der weitreichende Zugriff des Agenten auf Dateien, Befehle und Anmeldedaten.
AGENTS.md-Dateien sind einfache Textdateien mit projektspezifischen Vorgaben für Coding-Agenten. Dazu können Anweisungen zu verwendeten Werkzeugen, Tests und Programmierkonventionen gehören. Agenten laden passende Dateien aus ihrem Arbeitsverzeichnis automatisch und verwenden deren Inhalt als Handlungsanweisung. Eine Datei muss deshalb nicht ausführbar sein, um gefährliche Folgen zu haben: Ihre Anweisungen können den Agenten dazu bringen, Befehle auszuführen, Pakete zu installieren oder Einstellungen zu verändern.
Der untersuchte Pfad beginnt mit dem Download der Datei in ~/Downloads. Laut der Untersuchung kann eine Webseite eine Datei mit dem Namen AGENTS.md dort ablegen, ohne dass der Nutzer den Speicherort auswählen muss. Die Forscher konnten jedoch nicht feststellen, wie die konkrete Datei auf den betroffenen Rechner gelangte. Für den Angriff reicht anschließend eine weitere Bedingung: Der Nutzer muss den Coding-Agenten aus genau diesem Verzeichnis starten, damit der Agent die dort liegende Instruktionsdatei einliest.
Die praktische Relevanz entsteht durch eine verbreitete Arbeitsweise: Agenten werden genutzt, um Downloads zu organisieren oder neu geladene Dateien zu bearbeiten. In einem Test öffnete der manipulierte Codex-Agent lediglich die Taschenrechner-Anwendung; dieser harmlose Nachweis gelang laut den Forschern in 90 Prozent der Versuche. Bei Claude Code leitete eine bösartige CLAUDE.md-Datei den API-Verkehr an einen kontrollierten Server um. Dadurch wurde ein OAuth-Token offengelegt, und der Server konnte sich als Modell ausgeben und Werkzeugaufrufe zurückgeben, die in etwa der Hälfte der Tests Code ausführten.
Die Ergebnisse sind kein Hinweis auf eine klassische Sicherheitslücke, die durch ein Update der Agenten geschlossen werden müsste. Der Angriff nutzt die vorgesehene Verarbeitung von Instruktionsdateien und die Berechtigungen, die der Agent bereits besitzt. Das begrenzt zugleich die Aussagekraft der Tests: Sie zeigen die technische Machbarkeit unter den beschriebenen Bedingungen, nicht automatisch einen erfolgreichen Angriff auf jede Installation.
Betroffene Nutzer sollten AI-Coding-Agenten nicht aus ~/Downloads, dem Home-Verzeichnis oder einem übergeordneten Sammelordner starten. Stattdessen sollte der Arbeitsbereich auf das konkrete Projekt und damit auf den benötigten Kontext begrenzt werden. Unbekannte AGENTS.md-, CLAUDE.md- oder ähnliche Dateien sollten vor ihrer Verarbeitung geprüft werden. Freigabeabfragen und Sandbox-Schutz sollten aktiviert bleiben; nicht vertrauenswürdiger Code gehört in eine isolierte Umgebung, bevor er auf dem Hauptsystem ausgeführt wird.