Codex и Claude Code атакуют через AGENTS.md и CLAUDE.md в рабочей папке

Исследователи описали способ перехватывать поведение coding-агентов через локальные файлы инструкций. Если в рабочем каталоге лежит вредоносный AGENTS.md или CLAUDE.md, агент может принять его за штатные правила проекта и выполнить чужие указания. В реальном инциденте, о котором сообщила Forever Security, такой AGENTS.md пытался заставить агента установить npm-пакет function-color, но выполнение успели заблокировать.

По данным публикации, Codex автоматически учитывает AGENTS.md, а Claude Code — CLAUDE.md из рабочей директории. В тестах исследователей атака на Codex срабатывала более чем в 90% попыток: агент принимал вредоносные инструкции, включая изменение глобальной конфигурации. Для Claude Code показали отдельный сценарий, где поддельный CLAUDE.md перенаправлял API-трафик и раскрывал OAuth-токен примерно в половине тестов.

Авторы подчёркивают, что это не «дыра», которую можно просто закрыть патчем: проблема возникает, когда агент читает файл в текущей директории и при этом имеет достаточные права. Практический вывод для команд — не запускать агента прямо из Downloads или других пользовательских папок, изолировать рабочие каталоги и ограничивать доступ к сети, секретам и системным настройкам.