İndirilenler klasörüne bırakılan bir AGENTS.md dosyası, Codex’e zararlı bir npm paketi kurdurmaya çalıştı

Güvenlik şirketi Forever Security, 22 Ekim’de yayımladığı raporda bir müşterisinin bilgisayarında yakaladığı saldırıyı anlattı. Kullanıcının İndirilenler (Downloads) klasöründe sıradan mühendislik notu gibi görünen 13 KB’lık bir AGENTS.md dosyası vardı. Codex gibi kodlama ajanları açıldıkları klasördeki bu dosyayı talimat olarak izliyor. Dosyanın bir bölümü, ajandan ~/.codex/config.toml dosyasına bir MCP sunucusu eklemesini ve npm’den function-color paketini kurmasını istiyordu. Paket, CloudSEK ve Checkmarx’ın MALFEX adını verdiği zararlı yazılım kampanyasına ait. Forever ajanı kod çalışmadan durdurdu. Dosyanın klasöre nasıl geldiği belirlenemedi.

Şirkete göre saldırı iki zararsız özelliğin birleşiminden doğuyor. Ajanlar klasördeki talimat dosyasına güveniyor, web sayfaları ise tıklama ya da izin olmadan İndirilenler’e dosya kaydedebiliyor. Forever, ziyaret edilince fark ettirmeden AGENTS.md indiren bir kavram kanıtı sayfası hazırladı. Gerçek dosyayla yalıtılmış sanal makinede yapılan testlerde Codex zararlı yazılımı denemelerin yüzde 90’ından fazlasında çalıştırdı. Değişiklik makine genelindeki ayara yazıldığı için sonraki tüm Codex oturumlarını etkiliyor. Claude Code’da Forever’ın hazırladığı bir CLAUDE.md, ANTHROPIC_BASE_URL ayarını şirketin sunucusuna yönlendirmeye çalıştı. İnsan onayı gerektiren bu yazma yaklaşık yarı oranda onaylandı ve oturum jetonu sızdı.

Forever’a göre OpenAI ya da Anthropic’in yamalayacağı bir hata yok, çünkü ajanlar tasarlandığı gibi davranıyor. Şirketin verilerine göre müşterilerin yaklaşık yarısı kodlama ajanını İndirilenler klasöründe çalıştırıyor. Öneriler arasında ajanları bu klasörde başlatmamak, yabancı talimat dosyalarını okumak, ajan ayarlarını kontrol etmek ve jetonları yenilemek var. Test sonuçları şirketin kendi ölçümleri. OpenAI ve Anthropic’in konuya ilişkin bir açıklaması bulunamadı.