"Markdown бол шинэ executable": Downloads хавтас дахь AGENTS.md файл AI код бичигч агентуудыг урхидав

Хөгжүүлэгч бид терминал дээрээ AI агент (Claude Code, OpenAI Codex, Cursor CLI г.м.) асаагаад төслийн зааварчилгааг нь өгч, асуудлаа хэдхэн секундэд шийдүүлэхэд дасжээ. Эдгээр агентууд төслийн үндсэн хавтаст байрлах AGENTS.md эсвэл CLAUDE.md зэрэг Markdown файлуудыг уншин, кодчиллын дүрэм болон ямар сан, комманд ашиглахыг автоматаар ойлгож ажилладаг.

Гэвч энэхүү "хайр татам" боломж нь кибер аюулгүй байдлын хамгийн сул холбоос болж хувирлаа. Аюулгүй байдлын Forever Security компанийн шинжээчид хөгжүүлэгчийн ~/Downloads хавтас дотор байрлах энгийн нэгэн AGENTS.md файл AI агентыг хуурч, системд нь хортой код бүхий npm санг суулгуулахыг завдсан бодит халдлагыг илрүүлснээ зарлалаа.

Судлаачид энэ үзэгдлийг тун оновчтой тодорхойлжээ: "Markdown бол шинэ executable боллоо".

Халдлага хэрхэн явагдав: "Гэм хоргүй" хоёр үйлдлийн нэгдэл

Энэхүү халдлага нь ямар нэгэн үйлдлийн систем эсвэл хэлний гүн түвшний zero-day цоорхойг ашиглаагүй. Харин бидний өдөр тутмын хэвийн ажилладаг хоёр процессын хооронд үүссэн логик зайг ашигласан байна:

Вэб хөтчийн Drive-by Download: Chrome, Firefox, Edge зэрэг түгээмэл хөтчүүд хэрэглэгчээс ямар нэгэн баталгаажуулалт асуухгүйгээр файлыг шууд хэрэглэгчийн ~/Downloads хавтас руу хадгалах боломжтой байдаг. Хорон санаатай вэб хуудсанд зочлоход л таны компьютерын татаж авах хавтсанд AGENTS.md файл үүсэж чадна.
Агентын контекст уншилт: Хөгжүүлэгчид татаж авсан файлаа задлах, тестлэх, эсвэл хавтасаа цэгцлэхийн тулд ~/Downloads дотор терминалаа нээж, AI агент ажиллуулах тохиолдол элбэг байдаг. Агент эхлэхдээ тухайн директорийн AGENTS.md файлыг "найдвартай эх сурвалж" буюу төслийн дүрэм гэж үзэн автоматаар уншдаг.

Үр дүнд нь юу болов? Шинжээчдийн шалгасан хэрэглэгчийн компьютер дээр энгийн инженерчлэлийн тэмдэглэл шиг харагдах AGENTS.md файлд агент өөрийн тохиргоонд гаднын сервер нэмж, npm-ээс function-color нэртэй санг татах заавар нуугдсан байжээ.

MALFEX ажиллагаа ба хортой сангийн үр дагавар

Энэ халдлагад өртөх шахсан сан нь санамсаргүй зүйл байсангүй. CloudSEK болон Checkmarx нарын илрүүлсэн MALFEX кампанит ажлын хүрээнд function-color нэртэй npm package нь цаанаа function-flag хэмээх татагчийг дуудаж, Windows болон бусад үйлдлийн систем дээр арын хаалга (backdoor) суулгадаг хортой код байжээ.

Forever Security энэ үйлдлийг яг кодоо ажиллуулахаас нь өмнө амжиж таслан зогсоосон тул системийн гол өгөгдлүүд алдагдаагүй байна. Гэхдээ энэ нь ганц удаагийн азтай тохиолдол уу гэдгийг шалгахын тулд тэд лабораторийн орчинд тусгай туршилтуудыг хийжээ.

Туршилтын үр дүн: 90%-ийн амжилттай халдлага

Судлаачид халдлагыг тусгаарлагдсан VM (Virtual Machine) орчинд OpenAI Codex болон Anthropic-ийн Claude Code дээр туршиж үзсэн байна:

OpenAI Codex: Илрүүлсэн жинхэнэ халдлагын файлын бүтцээр туршихад Codex нь 90 гаруй хувьд нь зааврыг ягштал дагаж, ~/.codex/config.toml файл дахь тохиргоог өөрчлөн, зөвшөөрөл ба sandbox хязгаарлалтыг алгасаж дараагийн session-үүдэд ч үргэлжлэх хортой серверийг бүртгэсэн байна.
Claude Code: Тохируулсан CLAUDE.md заавраар хийсэн туршилтаар нийт оролдлогын бараг 50%-д нь API урсгалыг халдагчийн сервер рүү чиглүүлж, тухайн орчны OAuth токен болон нууц түлхүүрүүдийг алдагдуулах боломжтойг баталжээ.

Энд хамгийн ноцтой нь: Энэ бол OpenAI эсвэл Anthropic-ийн кодын цоорхой биш. Учир нь агент нь тухайн хавтсанд байгаа Markdown зааврыг дагаж ажиллахаар зохион бүтээгдсэн бөгөөд яг хийх ёстой үүргээ л биелүүлсэн хэрэг юм. Асуудал нь Indirect Prompt Injection буюу найдвартай бус гадаад файлыг агент шууд "босс"-ынхоо тушаал мэтээр хүлээн авч байгаад оршиж байна.

Үйлдлийн системийн хамгаалалт яагаад тус болоогүй вэ?

Хэрэв халдагч таны компьютер руу .exe, .dmg, эсвэл .sh файл татуулбал орчин үеийн үйлдлийн системүүд (Gatekeeper, Windows Defender, SmartScreen) шууд анхааруулж, ажиллуулах зөвшөөрөл шаарддаг.

Харин .md буюу энгийн текст файл нь үйлдлийн системийн хувьд ямар ч аюулгүй контент тул ямар ч сэжиггүйгээр хадгалагдана. Гэтэл хөгжүүлэгчийн эрхтэйгээр терминал дээр ажиллаж буй AI агент уг файлыг "тушаал" болгон уншсанаар Markdown текст нь шууд терминалын комманд болж хувирч байгаа юм. Иймээс уламжлалт антивирусийн түвшинд үүнийг барих боломжгүй шахам болжээ.

Хөгжүүлэгчид хэрхэн сэргийлэх вэ?

Энэхүү халдлагаас өөрийн хөгжүүлэлтийн орчныг хамгаалахын тулд дараах дүрмийг мөрдөхийг зөвлөж байна:

Хавтасны эрүүл ахуй (Directory Hygiene): AI агентуудыг (Claude Code, Codex, Cursor) хэзээ ч ерөнхий хавтас (~/Downloads, ~, ~/Desktop) дотроос битгий ажиллуул. Зөвхөн итгэмжлэгдсэн, Git репозитор бүхий тухайн төслийн үндсэн хавтас дотроос ажиллуулах хэрэгтэй.
Үл таних заавар файлуудыг шалгах: AGENTS.md, CLAUDE.md, .cursorrules файлуудыг package.json эсвэл Dockerfile-тай адил хэмжээний эрсдэлтэй тохиргооны файл гэж үзэх цаг ирсэн. Төслийн хавтаст таны оруулаагүй ийм файл байгаа эсэхийг байнга нягталж байх.
Хөтчийн автоматаар татах тохиргоог унтраах: Хөтөч дээрээ "Файл татах бүрд хаана хадгалахыг асуух" (Ask where to save each file before downloading) сонголтыг идэвхжүүлэх нь вэб хуудсаас чимээгүй татагдах файлуудыг зогсооход тусална.
Sandboxing ба тусгаарлалт: AI агентуудад шууд үндсэн компьютерынхаа shell болон орчны хувьсагчдыг (env keys) өгөхийн оронд Docker чингэлэг эсвэл түр зуурын тусгаарлагдсан орчинд (sandbox) ажиллуулах дадалд шилжих шаардлагатай байна.

AI-д суурилсан хөгжүүлэлт бидний хурдыг 10 дахин өсгөж байгаа хэдий ч бидний урьд өмнө төсөөлөөгүй халдлагын шинэ векторуудыг нээж өгч байна. Текст бол зүгээр л унших зүйл байхаа больж, үйлдлийг өдөөгч "код" болсон энэ цаг үед аюулгүй байдлын сонор сэрэмжээ нэг шат ахиулах нь чухал юм.

Эх сурвалж: The Hacker News, BleepingComputer