นักวิจัยพบการ Hijack AI Coding Agent ผ่านไฟล์ AGENTS.md ในโฟลเดอร์ Downloads

นักวิจัยพบไฟล์คำสั่ง Markdown ชื่อ AGENTS.md ที่เป็นอันตรายในโฟลเดอร์ Downloads ของลูกค้ารายหนึ่ง ซึ่งหลอกให้ AI Coding Agent ติดตั้ง npm package ที่เป็นอันตราย

นักวิจัยสามารถจำลองการโจมตีดังกล่าวกับ OpenAI Codex และสาธิตเทคนิคที่เกี่ยวข้องกับ Claude Code เพื่อขโมย OAuth Token และ Hijack บัญชีได้โดยอาศัยเพียงคำสั่งที่เป็นอันตราย

ไฟล์ Markdown เช่น AGENTS.md เป็นไฟล์ข้อความธรรมดาที่ใช้เก็บคำสั่งเฉพาะของโปรเจกต์สำหรับ AI Coding Agent เช่น เครื่องมือที่ต้องใช้, วิธีรันการทดสอบ และแนวทางการเขียนโค้ดที่ต้องปฏิบัติตาม

AI Agent ปฏิบัติตามคำสั่งที่เป็นอันตราย

นักวิจัยจาก Forever Security บริษัทที่ติดตามความเสี่ยงจาก AI Agent และซอฟต์แวร์ที่ทำงานอัตโนมัติ ค้นพบเทคนิคนี้บนคอมพิวเตอร์ของลูกค้ารายหนึ่ง โดยพบว่า Coding Agent พยายามติดตั้ง npm package ที่เป็นอันตรายชื่อ `function-color`

การตรวจสอบพบว่าความพยายามติดตั้ง npm package ดังกล่าวเกิดจากไฟล์ AGENTS.md ที่อยู่ในโฟลเดอร์ `~/Downloads` ของลูกค้า ซึ่งเป็น Working Directory ของ Agent ด้วย

AI Agent จะโหลดไฟล์คำสั่งที่เกี่ยวข้องจาก Working Directory โดยอัตโนมัติ และใช้คำสั่งภายในไฟล์เหล่านั้นเป็นแนวทางในการทำงาน

แม้ไฟล์เหล่านี้จะไม่ใช่ไฟล์ Executable แต่คำสั่งที่เป็นอันตรายภายในไฟล์สามารถชักนำให้ AI Agent รันคำสั่ง ติดตั้ง Package หรือเปลี่ยนการตั้งค่าต่าง ๆ โดยใช้เครื่องมือ และสิทธิ์ที่ Agent มีอยู่

นักวิจัยระบุว่า "ไม่มีอะไรที่ OpenAI หรือ Anthropic ต้องออก Patch เพื่อแก้ไขในกรณีนี้ เพราะ Agent ที่ปฏิบัติตามไฟล์ AGENTS.md ในโฟลเดอร์ของตัวเอง ก็กำลังทำงานตรงตามที่ถูกออกแบบมา"

การทดสอบของนักวิจัยยืนยันว่า ผู้โจมตีสามารถใช้ไฟล์ลักษณะนี้ควบคุมพฤติกรรมของ OpenAI Codex และ Claude Code ให้รันโค้ด หรือขโมย Credential ได้

แม้นักวิจัยจะไม่สามารถระบุได้ว่าไฟล์คำสั่งที่เป็นอันตรายเข้ามาอยู่ในโฟลเดอร์ `~/Downloads` ของเป้าหมายได้อย่างไร แต่พวกเขาอธิบายกับ BleepingComputer ว่า เพียงแค่เข้าเว็บไซต์ที่เป็นอันตราย ก็อาจทำให้มีการดาวน์โหลด Payload ลงเครื่องได้โดยไม่ต้องมีการโต้ตอบจากผู้ใช้

ในรายงานที่เผยแพร่สัปดาห์นี้ Forever Security ระบุว่า "`~/Downloads` เป็นโฟลเดอร์ที่มีลักษณะพิเศษ เพราะเป็นโฟลเดอร์ที่เว็บไซต์สามารถเขียนไฟล์ลงไปได้ด้วยตัวเอง" และอธิบายว่า "หน้าเว็บสามารถดาวน์โหลดไฟล์ชื่อ AGENTS.md ลงในโฟลเดอร์ Downloads ของผู้ใช้ได้โดยที่ผู้ใช้ไม่ทันสังเกต"

นักวิจัยได้สร้าง Proof-of-Concept (PoC) เพื่อสาธิตว่าการโจมตีสามารถนำไฟล์ที่เป็นอันตรายเข้าไปไว้ในโฟลเดอร์ `~/Downloads` ได้อย่างไร โดยที่ผู้ใช้ไม่สังเกตเห็น

เมื่อ BleepingComputer ตรวจสอบหน้าเว็บ PoC พบว่ามีการดาวน์โหลดไฟล์ AGENTS.md ซึ่งมีเนื้อหาที่ไม่เป็นอันตราย ได้แก่ ข้อความ "sensitive data here" และ "line 2"

โดยค่าเริ่มต้น Browser ยอดนิยมหลายตัว รวมถึง Chrome, Edge และ Firefox จะบันทึกไฟล์ที่ดาวน์โหลดจากเว็บไซต์ลงในโฟลเดอร์ `~/Downloads` ของผู้ใช้โดยอัตโนมัติ โดยไม่แสดงหน้าต่างให้เลือกตำแหน่งจัดเก็บทุกครั้งที่ดาวน์โหลด

การทดสอบของ BleepingComputer กับ Browser อื่น เช่น Brave พบว่ามีการขอให้ผู้ใช้ยืนยันการดาวน์โหลด ซึ่งน่าจะเพียงพอที่จะทำให้ผู้ใช้ทราบว่ามีไฟล์กำลังถูกดาวน์โหลด

อย่างไรก็ตาม Chrome, Edge และ Firefox ก็มีการแสดงการแจ้งเตือนการดาวน์โหลดตามค่าเริ่มต้นเช่นกัน เพื่อแจ้งให้ผู้ใช้ทราบเมื่อมีไฟล์ถูกบันทึกลงในเครื่อง

หลังจากนำไฟล์เข้าไปไว้ในโฟลเดอร์ Downloads แล้ว การโจมตีจะเกิดขึ้นได้ก็ต่อเมื่อเป้าหมายเปิดใช้งาน AI Agent จาก Directory เดียวกัน เพื่อให้ Agent โหลดไฟล์คำสั่งและประมวลผลคำสั่งที่เป็นอันตรายภายในไฟล์

Gal Weizman นักวิจัยจาก Forever Security ให้ข้อมูลกับ BleepingComputer ว่า พฤติกรรมดังกล่าวพบได้ทั่วไป เนื่องจากผู้ใช้มักใช้งาน AI Agent เพื่อจัดระเบียบไฟล์ในโฟลเดอร์ Downloads หรือจัดการไฟล์ที่เพิ่งดาวน์โหลดมา

Weizman ระบุว่า สถิติภายในแสดงให้เห็นว่าลูกค้าหลายร้อยรายเปิดใช้งาน AI Agent รวมถึง Claude Code, OpenAI Codex และ Cursor CLI จากโฟลเดอร์ `~/Downloads` โดยเฉพาะ Claude Code เพียงอย่างเดียวมีการเริ่ม Session จากตำแหน่งดังกล่าวมากกว่า 1,300 ครั้ง ตามข้อมูลที่นักวิจัยเปิดเผยกับ BleepingComputer

ผลการทดสอบยืนยันว่าการโจมตีสามารถเกิดขึ้นได้จริง

นักวิจัยทดสอบ Attack Chain ที่จำลองขึ้นใหม่กับ Codex โดยใช้ Payload ที่ไม่เป็นอันตราย ซึ่งทำหน้าที่เพียงเปิดแอปเครื่องคิดเลข และพบว่าโจมตีสำเร็จในอัตรา 90%

ในการทดสอบแยกอีกกรณีหนึ่ง นักวิจัยใช้ไฟล์ CLAUDE.md ที่เป็นอันตรายเพื่อเปลี่ยนเส้นทาง API Traffic ของ Claude Code ไปยัง Server ที่พวกเขาควบคุม ทำให้ OAuth Token ของ Agent ถูกเปิดเผย และเปิดโอกาสให้ Server ปลอมตัวเป็นโมเดลเพื่อส่ง Tool Call กลับมาให้ Agent รันโค้ดได้ โดยการทดสอบประสบความสำเร็จประมาณ 50%

นักวิจัยระบุว่าความเสี่ยงนี้เกิดจากการทำงานร่วมกันของ Browser และ AI Agent ตามพฤติกรรมที่ถูกออกแบบไว้ ซึ่งทำให้ความรับผิดชอบในการป้องกัน และระมัดระวังตกอยู่กับผู้ใช้โดยตรง

ผู้ใช้ควรหลีกเลี่ยงการกำหนดโฟลเดอร์ `~/Downloads` เป็น Working Directory ของ AI Coding Agent เนื่องจากภายในโฟลเดอร์อาจมีไฟล์ที่ไม่น่าเชื่อถือ ซึ่ง Agent อาจตีความว่าเป็นคำสั่งที่ต้องปฏิบัติตาม

OpenAI และ Anthropic แนะนำให้เปิดใช้งาน AI Coding Agent จาก Directory ของโปรเจกต์ที่ต้องการให้ Agent ทำงานโดยตรง

การจำกัด Working Directory ให้อยู่เฉพาะภายในโปรเจกต์ที่เกี่ยวข้อง จะช่วยให้ Agent ได้รับข้อมูลบริบทที่เหมาะสม และจำกัดขอบเขตการทำงาน ซึ่งช่วยลดความเสี่ยงจากการประมวลผลไฟล์ที่ไม่น่าเชื่อถือในตำแหน่งอื่นที่ไม่เกี่ยวข้อง

คำแนะนำร่วมกันของ OpenAI และ Anthropic คือควรเริ่มใช้งาน AI Coding Agent จาก Root Directory ของโปรเจกต์ที่ต้องการให้ทำงาน แทนการเปิดจาก Home Directory หรือ Directory ระดับบนที่ครอบคลุมไฟล์จำนวนมาก โดยควรจำกัดพื้นที่ทำงานให้แคบที่สุดเท่าที่ทำได้ และขยายสิทธิ์การเข้าถึงเฉพาะเมื่อจำเป็น

ประเด็นสำคัญคือ Working Directory เป็นตัวกำหนดบริบทเริ่มต้นของโปรเจกต์สำหรับ Agent และอาจมีส่วนกำหนดขอบเขตการเข้าถึง File System ด้วย ทั้งนี้ขึ้นอยู่กับเครื่องมือที่ใช้งาน

ผู้ใช้ควรตรวจสอบไฟล์ AGENTS.md, CLAUDE.md และไฟล์คำสั่งลักษณะเดียวกันที่ไม่คุ้นเคย ก่อนอนุญาตให้ AI Coding Agent ปฏิบัติตามคำสั่งภายในไฟล์ ควรเปิดใช้งานระบบขออนุมัติการดำเนินการและการป้องกันด้วย Sandbox ไว้เสมอ รวมถึงทดสอบโค้ดที่อาจไม่น่าเชื่อถือในสภาพแวดล้อมแยกต่างหาก ก่อนนำไปรันบนระบบหลัก

ที่มา: Bleepingcomputer