Claude Code und Codex gehorchen einer Datei, die jede Website in Ihren Downloads ablegen kann

Eine Textdatei, die eine Website im Downloads-Ordner speichert, kann dem KI-Programmieragenten auf dem eigenen Rechner inzwischen Anweisungen geben. Forschende von Forever Security fanden auf dem Rechner eines Kunden eine platzierte AGENTS.md – eine einfache Textdatei mit Anweisungen, die Tools wie OpenAI’s Codex beim Start einlesen. Darin wurde der Agent angewiesen, eine bekannte Schadsoftware zu installieren. Wer Claude Code oder Codex schon einmal im Downloads-Ordner geöffnet hat, um dort aufzuräumen oder eine gerade heruntergeladene Datei zu bearbeiten, hat diesem Ordner damit dasselbe Vertrauen entgegengebracht wie einem eigenen Projekt.

Nach seinen eigenen Regeln hat der Agent nichts falsch gemacht. AGENTS.md und ihr Claude-Pendant CLAUDE.md gibt es, damit ein Projekt einem Agenten mitteilen kann, welche Tools er verwenden und wie er seine Tests ausführen soll. Der Agent ist darauf ausgelegt, diese Anweisungen zu befolgen. Der entscheidende Punkt der Forschenden: Downloads ist der eine Ordner, den das Web eigenständig füllen kann. „Hier gibt es nichts, was OpenAI oder Anthropic patchen könnte“, schreiben sie. „Ein Agent, der die AGENTS.md in seinem Ordner befolgt, tut genau das, wofür er entwickelt wurde.“

Die echte Datei war ein 13 KB großes Dokument mit dem Titel „Engineering Guidelines“. Der Angriff war darin nahe dem Ende versteckt und im unaufgeregten Ton einer Einrichtungsanleitung formuliert. Codex sollte einen Server für „project tools“ zu seiner Konfiguration hinzufügen und ein npm-Paket namens function-color installieren. Die Forschenden bezeichnen es als Schadsoftware aus einer Kampagne, die etwa zwei Jahre lang unentdeckt blieb. Die Software von Forever blockierte die Installation, bevor Code ausgeführt wurde. In den Tests des Teams – meist mit einem harmlosen Ersatz, der lediglich den Taschenrechner öffnete – befolgte Codex die Anweisungen der Datei in mehr als 90 Prozent der Versuche. Auch das echte Paket wurde einmal in einer isolierten virtuellen Maschine ausgeführt. Die Änderung landet in Codex‘ systemweiter Einstellungsdatei. Dadurch lädt jede spätere Codex-Sitzung den Server des Angreifers, unabhängig davon, in welchem Ordner sie läuft.

Claude Code ließ sich schwerer täuschen. Das Team schrieb eine eigene CLAUDE.md, die Claude dazu bringen sollte, seinen API-Verkehr an einen vom Angreifer kontrollierten Server umzuleiten, der als Unternehmens-Gateway getarnt war. Diese eine Einstellung gibt das Claude-Anmeldetoken preis. Die Forschenden verwendeten es erneut für Anfragen an Anthropics echte API, um sich als Opfer auszugeben. Außerdem kann der gefälschte Server antworten, als wäre er das Modell, und Befehle zurücksenden, während die Sandbox deaktiviert ist. Claude bittet bei einer solchen Einstellungsänderung einen Menschen um Zustimmung und lehnt sie häufig ab. Trotzdem wurde die Änderung in etwa der Hälfte der Fälle vorgenommen.

Die Datei auf einen Rechner zu bringen, ist einfacher, als man vermuten könnte. Chrome, Edge und Firefox speichern Downloads standardmäßig in diesem Ordner, ohne nach dem Speicherort zu fragen. Eine Website kann dabei Dateiname und Inhalt festlegen. BleepingComputer, das über die Ergebnisse berichtete, rief die Proof-of-Concept-Seite der Forschenden auf und beobachtete, wie sie eine harmlose AGENTS.md ablegte. Brave fragte zuvor um Erlaubnis. Gal Weizman, Forscher bei Forever, sagte dem Medium, Hunderte Kunden des Unternehmens starteten Claude Code, Codex oder den Kommandozeilen-Agenten von Cursor im Downloads-Ordner. Allein Claude Code sei dort bereits in mehr als 1.300 Sitzungen gestartet worden.

Die Untersuchung lässt Fragen offen. Forever konnte nicht feststellen, wie die schädliche Datei auf den Rechner des Kunden gelangte. Außerdem muss jemand anschliessend einen Agenten in diesem Ordner starten, damit der Angriff funktioniert. Chrome, Edge und Firefox zeigen zwar einen Download-Hinweis an, der aufmerksamen Nutzern auffallen könnte. Die echte Schadsoftware war für macOS geschrieben. Forever verkauft auch Überwachungssoftware für KI-Agenten und hat daher ein kommerzielles Interesse an dem beschriebenen Risiko. Zudem enthält der Bericht keine Stellungnahme von OpenAI oder Anthropic. Die betroffenen Tools werden weltweit angeboten; entsprechend besteht die Gefahr in allen Märkten, in denen Entwickler sie verwenden.

Die wichtigste Schutzmaßnahme ist eine Frage der Gewohnheit: Einen Programmieragenten niemals im Downloads-Ordner starten, sondern im Ordner des Projekts, an dem er arbeiten soll – genau das empfehlen OpenAI und Anthropic bereits. Jede AGENTS.md oder CLAUDE.md, die man nicht selbst geschrieben hat, sollte man lesen, bevor ein Agent sie zu sehen bekommt. Außerdem sollten Zustimmungsabfragen und Sandboxes aktiviert bleiben. In Codex‘ Einstellungsdatei sollte man nach einem Servereintrag suchen, den man nicht selbst hinzugefügt hat. In den Claude-Einstellungen eines Projekts sollte man nach einer API-Adresse Ausschau halten, die man nie festgelegt hat. Taucht ein solcher Eintrag auf, ist das Anmeldetoken als gestohlen zu behandeln und zu widerrufen. Jeder Rechner, auf dem function-color installiert wurde – npm hat das Paket inzwischen entfernt –, sollte als kompromittiert gelten.

Forever veröffentlichte seinen Bericht am 22. Oktober, BleepingComputer berichtete am 25. Oktober darüber. Die Forschenden sagen, dass sich jeder Agent auf dieselbe Weise steuern lässt, wenn er eine Anweisungsdatei einliest und seine eigene Konfiguration ändern kann. Codex und Claude Code seien deshalb erst die ersten beiden Namen auf einer längeren Liste. Ein Browser-Download galt früher als harmlos, bis jemand ihn öffnete. Jetzt öffnet sich die Datei selbst, sobald ein Agent beginnt, den Ordner einzulesen.

Schlagwörter: OpenAI, Cybersicherheit, Anthropic, KI-Agenten, Claude Code, Forever Security