I ricercatori hanno scoperto un file di istruzioni AGENTS in formato Markdown, collocato nella cartella Download di un utente, capace di indurre un agente di coding basato su intelligenza artificiale a installare un pacchetto npm contraffatto. L’episodio mostra come la cosiddetta iniezione di prompt non passi più solo dal testo scritto nella chat, ma anche dai contenuti presenti nel file system che gli agenti leggono automaticamente mentre lavorano.
Cos’è AGENTS.md e perché è un bersaglio
AGENTS.md è un file che molti strumenti di coding AI utilizzano per definire istruzioni, regole e convenzioni di progetto che l’agente deve seguire. Poiché viene letto e interpretato in modo automatico, un documento predisposto ad arte può manipolare il comportamento dell’agente senza che lo sviluppatore se ne accorga. In questo caso il file malevolo conteneva direttive che hanno convinto l’assistente a eseguire un’installazione non autorizzata, portando dentro il progetto un pacchetto dannoso.
Iniezione di prompt dal file system
La tecnica sfrutta il fatto che gli agenti di coding, come Claude Code e Codex, leggono i file presenti nella directory di lavoro per orientarsi e decidere le azioni da compiere. Un file collocato nella cartella Download, o un AGENTS.md preparato dentro un repository clonato da una fonte non verificata, diventa quindi un vettore di attacco silenzioso. Il risultato è un rischio di tipo supply chain: l’agente esegue azioni che introducono codice malevolo nella codebase, con conseguenze potenzialmente ampie per l’intera pipeline di sviluppo e per chi utilizza il software prodotto in seguito.
Come nasce l’attacco
Il caso documentato è emerso proprio nell’ambiente di un cliente, dove alcuni agenti di coding venivano impiegati per la manutenzione del codice. La presenza di un file AGENTS malevolo nella cartella Download ha orientato uno di essi verso un’operazione che lo sviluppatore non aveva autorizzato. Non servono vulnerabilità tecniche complesse: basta confidare in un file che l’agente legge per automatismo e che l’utente non ha mai esaminato. È un monito su quanto il grado di autonomia degli agenti debba essere proporzionato alla fiducia che possiamo riporre nell’ambiente in cui operano.
Come difendersi
Le organizzazioni dovrebbero trattare come potenzialmente non attendibili i contenuti che gli agenti leggono dal file system. È utile verificare quali file di istruzioni vengono interpretati automaticamente, limitare i permessi con cui gli agenti operano e controllare ogni installazione o modifica proposta prima di confermarla. In questo senso, mantenere un controllo umano sulle azioni proposte dall’agente resta la barriera più affidabile che le organizzazioni possono adottare, soprattutto negli ambienti di produzione.
La diffusione degli agenti di coding impone nuove attenzioni alla sicurezza della catena di sviluppo. Se vuoi capire come proteggere i tuoi flussi di sviluppo dall’iniezione di prompt e dai rischi legati alla supply chain, contattaci per un confronto.
Fonte: BleepingComputer
URL sorgente: https://www.bleepingcomputer.com/news/security/ai-coding-agents-hijacked-using-agentsmd-file-in-downloads-folder