Egy szöveges fájl is eltérítheti az AI-kódolóügynököt: a Letöltések mappa csapdája

Az AI-kódolóügynökök (Claude Code, OpenAI Codex, Cursor CLI) ma már nem csak tanácsot adnak: parancsokat futtatnak, csomagokat telepítenek, fájlokat írnak át a gépeden. Egy friss biztonsági kutatás megmutatta, hogy ehhez a támadónak nem kell vírust juttatnia a gépedre. Elég egy sima szöveges fájl, a megfelelő mappában.

Mi történt?

A Forever Security kutatói, Gal Weizman és Omer Samet 2026. október 22-én publikált jelentésükben egy valódi ügyfél gépén leírt esetről számoltak be. A gépen futó kódolóügynök egy ismert kártékony npm-csomagot (function-color) próbált telepíteni. A nyom egy AGENTS.md nevű fájlhoz vezetett, amely a felhasználó Letöltések mappájában volt, és az ügynök is ebből a mappából indult. A telepítést még a futás előtt megállították, de azt senki nem tudta megmondani, hogyan került oda a fájl.

A kutatók összefoglalója szerint a Markdown lett az új futtatható fájl. Hogy ez miért igaz, ahhoz érdemes megérteni, hogyan dolgoznak ezek az ügynökök.

Miért veszélyes egy szövegfájl?

Az AI-kódolóügynökök induláskor körülnéznek abban a mappában, ahol elindítottad őket, és ha találnak egy AGENTS.md vagy CLAUDE.md fájlt, azt a projekt „házirendjeként” olvassák be. Ez hasznos funkció: ide írja a fejlesztő, milyen kódstílust használjon az AI, hogyan futtassa a teszteket, mire figyeljen.

A gond az, hogy ez a fájl nem program. A vírusirtó és az operációs rendszer védelmei számára csak egy ártalmatlan szöveg. Az ügynök viszont a te jogosultságaiddal dolgozik, és ha a fájl azt írja, hogy „telepítsd ezt a csomagot” vagy „írd át ezt a beállítást”, könnyen megteszi. A támadó tehát nem a mesterséges intelligenciát töri fel, hanem a környezetét használja ki: ráveszi az ügynököt, hogy helyette dolgozzon.

Miért pont a Letöltések mappa?

A Letöltések mappa különleges hely: ez az egyetlen könyvtár, ahová egy weboldal külön kérdés nélkül is menthet fájlt. A Chrome, az Edge és a Firefox alapbeállítással oda teszi a letöltéseket, legfeljebb egy értesítés jelzi. A BleepingComputer tesztjében a kutatók bemutató oldala valóban letöltött egy (ártalmatlan tartalmú) AGENTS.md fájlt, a Brave böngésző viszont jóváhagyást kért.

A támadás második feltétele, hogy valaki elindítsa az ügynököt ebben a mappában. Ez nem ritka: a Forever Security saját adatai szerint több száz ügyfelük indít AI-ügynököt a Letöltésekből, csak a Claude Code több mint 1300 munkamenetet.

A támadási lánc lépésről lépésre

1. Meglátogatsz egy weboldalt, amely csendben letölt egy AGENTS.md fájlt a Letöltések mappádba.

2. Később letöltesz egy zipet vagy sablont, és „csak gyorsan” elindítod rajta az AI-ügynököt a Letöltések mappából.

3. Az ügynök beolvassa a fájlt, és utasításként kezeli.

4. A fájl ráveszi, hogy kártékony csomagot telepítsen, vagy átírja a gép beállításait úgy, hogy a támadás minden későbbi munkamenetre is kiterjedjen.

Mit sikerült elérni a tesztekben?

Codex: a valódi kártékony fájl egy hosszú, unalmas „fejlesztési irányelvek” dokumentum volt, amelynek csak a vége tartalmazta a rosszindulatú részt, rutinszerű beállításnak álcázva. Elszigetelt virtuális gépen a Codex az esetek több mint 90 százalékában végrehajtotta. A fájl egy új MCP-szervert írt a gép egészére érvényes ~/.codex/config.toml beállításba, így a támadó szervere minden későbbi Codex-munkamenetben, bármelyik mappában betöltődött volna.

Claude Code: itt nehezebb dolguk volt a kutatóknak. Egy CLAUDE.md arra utasította az ügynököt, hogy hozzon létre egy .claude/settings.json fájlt, amely a modell API-forgalmát egy „belső átjárónak” álcázott, a kutatók által irányított szerverre küldi. Ez két dolgot tesz lehetővé: a támadó megszerezheti a fiók hozzáférési tokenjét (ezzel átveheti a fiókot), és a szerver a modell nevében parancsokat küldhet vissza. A beállításfájl megírása jóváhagyást igényel, és a Claude gyakran visszautasította, de nagyjából az esetek felében sikerült.

Fontos: ezek laboreredmények, nem valós fertőzési arányok, és a kutatók az esetek nagy részében ártalmatlan „próbaterhet” használtak.

Javítható ez egy frissítéssel?

A kutatók szerint nincs mit foltozni, mert az ügynök pontosan azt teszi, amire tervezték: követi a mappájában talált utasításokat. Ezt érdemes fenntartással kezelni, hiszen a Forever Security maga is ügynökfigyelő szolgáltatást árul, és a gyártók a jövőben adhatnak hozzá extra figyelmeztetéseket. A lényeg viszont igaz: amíg az ügynök vakon megbízik a munkamappájában, és a web írhat ebbe a mappába, a kockázat megmarad.

A kör ráadásul bővül: a Claude saját CLAUDE.md fájlja mellett az AGENTS.md több eszköz közös formátuma lett, így egy elhelyezett fájl nem csak egy ügynökre hathat.

Mikor érint ez téged?

• Ha az AI-ügynököt a Letöltések mappából vagy a felhasználói könyvtáradból indítod.

• Ha letöltött zipet, sablont, „starter kitet” vagy idegen GitHub-repót nyitsz meg ügynökkel úgy, hogy előtte nem nézted át.

• Ha netről szedett AI-skillt, plugint vagy „promptcsomagot” telepítesz az ügynöködbe, és nem olvastad végig. Ma sokan hirdetnek skilleket, és egy skill ugyanolyan szöveges utasítás, mint az AGENTS.md, sokszor futtatható szkripttel együtt. Ha valaki kártékony sort rejt bele, az ügynök azt is végrehajtja.

• Ha a „megbízol ebben a mappában?” kérdésre rutinból igent nyomsz.

• Ha kikapcsoltad a jóváhagyásokat (például --dangerously-skip-permissions vagy automatikus jóváhagyás), és ismeretlen mappában dolgozol.

• Ha átveszel egy ügyfélprojektet, amelyben már van más által írt CLAUDE.md vagy AGENTS.md.

Ellenőrzőlista: hogyan védekezz?

1. Az ügynököt mindig a konkrét projekt mappájából indítsd. Soha ne a Letöltésekből, és ne a felhasználói könyvtárból.

2. Olvasd el az ismeretlen utasításfájlokat, mielőtt az ügynök beolvassa őket. Ez minden olyan AGENTS.md-re és CLAUDE.md-re vonatkozik, amit nem te írtál, a frissen klónozott repókban is.

3. Nézd át a beállításfájlokat. Codexnél a ~/.codex/config.toml fájlban keress ismeretlen [mcp_servers.*] blokkot vagy megváltozott címet. Claude Code-nál a projektek .claude/settings.json fájljában keress ismeretlen ANTHROPIC_BASE_URL beállítást, proxyt vagy más, nem általad megadott végpontot.

4. Hagyd bekapcsolva a jóváhagyásokat és a sandboxot. Ha egy utasítás arra kéri az ügynököt, hogy kerülje meg őket, az önmagában vészjelzés.

5. Gyanú esetén cserélj kulcsot. Egy kiszivárgott tokent tekints élő munkamenetnek, és vond vissza.

6. Keresd a function-color csomagot. Például: npm ls -g function-color. Ha megtalálod, kezeld a gépet fertőzöttként.

7. Állítsd be a böngészőt, hogy letöltés előtt rákérdezzen a mentés helyére.

A tanulság cégeknek

Az AI-eszközök biztonsága nem csak a modellen múlik, hanem azon is, milyen környezetben és milyen jogosultságokkal futnak. Ha a csapatodban valaki AI-ügynököket használ, érdemes egyszerű szabályokat rögzíteni: hol szabad elindítani őket, mit kell átnézni előtte, és mikor kell jóváhagyást kérni. Egy ilyen szabály semmibe sem kerül, egy ellopott fiók viszont sokba. Ha még csak most nézed, mire jó az AI egy vállalkozásban, és milyen adat mehet hozzá, azt külön cikkben szedtem össze.

Ha AI-alapú automatizálást vagy fejlesztői eszközöket vezetnél be a vállalkozásodban, és szeretnéd, hogy ez biztonságosan történjen, keress bátran.

Források

• Forever Security: Markdown Is the New Executable

• BleepingComputer: AI coding agents hijacked using AGENTS.md file in Downloads folder