Claude Code và Codex làm theo một tệp mà trang web bất kỳ có thể thả vào thư mục Downloads

Một tệp văn bản được website lưu vào thư mục Downloads giờ đây có thể ra lệnh cho tác nhân lập trình AI trên máy tính của bạn. Các nhà nghiên cứu tại Forever Security phát hiện một tệp AGENTS.md được cài cắm trên máy của một khách hàng. Đây là tệp hướng dẫn dạng văn bản thuần mà những công cụ như Codex của OpenAI đọc khi khởi chạy; trong trường hợp này, tệp đã chỉ thị cho tác nhân cài một phần mềm độc hại đã được biết đến. Nếu từng mở Claude Code hoặc Codex ngay trong Downloads để dọn dẹp hay làm việc với tệp vừa tải về, bạn đã đặt niềm tin vào thư mục đó ngang với một dự án của chính mình.

Theo đúng các quy tắc của mình, tác nhân không làm gì sai. AGENTS.md và tệp tương đương của Claude là CLAUDE.md được tạo ra để dự án có thể hướng dẫn tác nhân nên dùng công cụ nào và chạy kiểm thử ra sao; tác nhân được thiết kế để làm theo những chỉ dẫn ấy. Các nhà nghiên cứu nhấn mạnh rằng Downloads là thư mục duy nhất mà web có thể tự ý đưa tệp vào. Họ viết: “Ở đây không có gì để OpenAI hay Anthropic vá cả. Một tác nhân làm theo AGENTS.md trong thư mục của nó đang hành động đúng như những gì nó được tạo ra để làm.”

Tệp thực tế là một tài liệu 13 KB, mang tiêu đề như thể chứa hướng dẫn kỹ thuật; nội dung tấn công được giấu gần cuối và viết bằng giọng điềm nhiên của một ghi chú thiết lập. Tài liệu yêu cầu Codex thêm một máy chủ “công cụ dự án” vào cấu hình, đồng thời cài gói npm có tên function-color. Theo các nhà nghiên cứu, đây là phần mềm độc hại thuộc một chiến dịch đã âm thầm lọt qua sự chú ý trong khoảng hai năm. Phần mềm của Forever đã chặn việc cài đặt trước khi bất kỳ đoạn mã nào chạy. Trong các thử nghiệm của nhóm, phần lớn dùng một chương trình thay thế vô hại chỉ mở ứng dụng máy tính, Codex làm theo chỉ dẫn trong tệp ở hơn 90% số lần thử; gói thật cũng từng chạy một lần bên trong máy ảo cô lập. Thay đổi này được ghi vào tệp cài đặt áp dụng trên toàn máy của Codex, vì vậy mọi phiên Codex về sau đều tải máy chủ của kẻ tấn công, bất kể đang ở thư mục nào.

Claude Code khó bị đánh lừa hơn. Nhóm nghiên cứu tự viết một tệp CLAUDE.md để thuyết phục Claude chuyển lưu lượng API sang một máy chủ do kẻ tấn công kiểm soát, được ngụy trang thành cổng kết nối của công ty. Chỉ một thiết lập đó đã làm lộ mã thông báo đăng nhập Claude; các nhà nghiên cứu phát lại mã này qua API thật của Anthropic để hành động dưới danh nghĩa nạn nhân. Máy chủ giả còn có thể trả lời như thể đó là mô hình, gửi lại các lệnh khi tính năng hộp cát đã bị tắt. Claude yêu cầu con người phê duyệt thay đổi cài đặt kiểu này và thường từ chối, nhưng việc ghi cấu hình vẫn thành công trong khoảng một nửa số lần thử.

Đưa tệp vào máy dễ hơn nhiều người nghĩ. Theo mặc định, Chrome, Edge và Firefox lưu tệp tải xuống vào thư mục đó mà không hỏi người dùng muốn lưu ở đâu; một trang web có thể tự chọn tên và nội dung tệp. BleepingComputer, đơn vị đưa tin về phát hiện này, đã truy cập trang minh họa bằng chứng khái niệm của các nhà nghiên cứu và tận mắt thấy trang thả xuống một tệp AGENTS.md vô hại. Brave thì yêu cầu cấp quyền trước. Nhà nghiên cứu Gal Weizman của Forever nói với trang tin rằng hàng trăm khách hàng của công ty chạy Claude Code, Codex hoặc tác nhân dòng lệnh của Cursor từ Downloads; riêng Claude Code đã được khởi chạy hơn 1.300 phiên tại đó.

Nghiên cứu vẫn còn những điểm chưa sáng tỏ. Forever không thể xác định tệp độc hại đã đến máy tính của khách hàng bằng cách nào, và cuộc tấn công vẫn cần có người khởi chạy tác nhân trong thư mục đó sau đó. Chrome, Edge và Firefox đều hiện thông báo tải xuống, điều mà một người dùng chú ý có thể phát hiện. Tải trọng tấn công thật được viết cho macOS. Forever cũng bán phần mềm giám sát tác nhân AI, nên công ty có lợi ích thương mại gắn với rủi ro mà họ mô tả; báo cáo cũng không có phản hồi từ OpenAI hay Anthropic. Các công cụ liên quan được bán trên toàn thế giới, vì vậy mức độ phơi nhiễm là như nhau ở mọi thị trường nơi nhà phát triển sử dụng chúng.

Biện pháp phòng vệ chủ yếu nằm ở thói quen. Đừng bao giờ khởi chạy tác nhân lập trình trong Downloads; hãy chạy nó từ thư mục của dự án mà nó cần xử lý, đúng như khuyến nghị hiện nay của OpenAI và Anthropic. Trước khi để tác nhân đọc, hãy xem kỹ mọi tệp AGENTS.md hoặc CLAUDE.md mà bạn không tự viết, đồng thời luôn bật yêu cầu phê duyệt và hộp cát. Trong tệp cài đặt của Codex, hãy tìm mục máy chủ mà bạn không thêm vào. Trong cài đặt Claude của dự án, hãy tìm địa chỉ API mà bạn chưa từng thiết lập. Nếu thấy mục lạ, hãy coi mã thông báo đăng nhập là đã bị đánh cắp và thu hồi nó; đồng thời coi mọi máy đã cài function-color—gói mà npm đã gỡ khỏi kho—là máy bị xâm nhập.

Forever công bố báo cáo vào ngày 22 tháng 10, còn bài viết của BleepingComputer xuất hiện ngày 25 tháng 10. Các nhà nghiên cứu cho biết bất kỳ tác nhân nào đọc tệp hướng dẫn và có thể tự viết lại cấu hình của mình đều có thể bị điều khiển theo cách tương tự; vì thế Codex và Claude Code mới chỉ là hai cái tên đầu tiên trong một danh sách dài hơn. Trước đây, một tệp tải xuống từ trình duyệt vẫn vô hại cho đến khi có người mở nó. Giờ đây, tệp tự mở ngay khi tác nhân bắt đầu đọc nội dung thư mục.

Thẻ: OpenAI, an ninh mạng, Anthropic, tác nhân AI, Claude Code, Forever Security