Les téléchargements malveillants peuvent inciter les agents de codage de l’IA à se compromettre

Des fichiers d’instructions malveillants implantés dans le dossier Téléchargements d’un ordinateur peuvent inciter les agents de codage de l’IA à exécuter du code nuisible ou à exposer des jetons d’authentification, a déclaré Forever Security après avoir bloqué une tentative d’attaque sur la machine d’un client et démontré des techniques similaires contre le Codex d’OpenAI et le Code Claude d’Anthropic.

Dans son rapport de recherche, la société a déclaré avoir découvert un fichier AGENTS.md malveillant dans le dossier Téléchargements d’un client qui demandait au Codex d’installer un package npm malveillant appelé function-color. L’installation a été bloquée avant que le malware puisse s’exécuter.

Les chercheurs n’ont pas pu déterminer comment le fichier d’origine a atteint l’ordinateur, mais ont démontré qu’un site Web malveillant pouvait déclencher un téléchargement similaire sans demande d’approbation distincte.

L’attaque exploite la façon dont les assistants de codage IA traitent les instructions spécifiques au projet. Codex utilise AGENTS.md, tandis que Claude Code prend en charge CLAUDE.md. Les deux peuvent interpréter les instructions contenues dans ces fichiers Markdown lorsqu’ils opèrent dans des répertoires où les fichiers sont présents.

L’attaque nécessite que l’agent opère dans le répertoire affecté et traite le fichier malveillant. Pour le Codex, le répertoire doit également être fiable, selon Forever Security.

Lors de tests utilisant le fichier récupéré sur la machine du client, Forever Security a découvert que Codex pouvait être manipulé pour modifier la configuration de son serveur MCP à l’échelle de la machine et lancer une autre session en contournant les restrictions d’approbation et de bac à sable.

Codex a suivi les instructions malveillantes dans plus de 90 % des tests, dont la plupart ont utilisé un substitut inoffensif au malware. Étant donné que le serveur malveillant était enregistré dans la configuration de l’ensemble de la machine du Codex, il pouvait également être chargé lors de sessions ultérieures, même après que le développeur ait été déplacé vers un autre répertoire.

Une démonstration distincte contre Claude Code a montré qu’un fichier CLAUDE.md malveillant pouvait rediriger le trafic API de l’agent vers un serveur contrôlé par un chercheur, exposant des jetons d’authentification et permettant au serveur de fournir des commandes à exécuter. La manipulation de configuration a réussi dans environ la moitié des tests.

Les chercheurs ont également réussi à rejouer un jeton OAuth capturé par rapport à l’API légitime, démontrant le potentiel de compromission du compte.

Les fichiers Markdown ne contiennent aucun code exécutable. Au lieu de cela, l’attaque repose sur un agent IA qui interprète leur contenu comme des instructions légitimes et les exécute avec ses autorisations existantes.

Commentant les conclusions de Forever Security, Sakshi Grover, responsable de recherche senior pour les produits et services de cybersécurité pour l’Asie/Pacifique chez IDC, a déclaré que la recherche constituait une alerte précoce crédible plutôt qu’une preuve d’une exploitation généralisée. Elle a noté que les taux de réussite rapportés variaient selon les agents et n’avaient pas été validés de manière indépendante.

Une faiblesse architecturale

Les résultats exposent un problème de conception plus large dans les agents de codage d’IA, qui sont censés suivre les instructions du projet mais peuvent également avoir accès à des configurations sensibles et à des privilèges d’exécution, selon Akshat Tyagi, responsable associé des pratiques chez HFS Research.

« Le problème le plus profond est que ces outils traitent le fait de suivre une instruction et d’accorder un privilège comme un seul et même acte », a déclaré Tyagi.

Il a fait valoir que les fournisseurs doivent séparer les deux, en s’assurant que les instructions des fichiers de projet ne peuvent pas autoriser les modifications des paramètres de sécurité d’un agent sans l’approbation humaine indépendante.

Grover a déclaré que les fournisseurs devraient vérifier l’origine des fichiers d’instructions et exiger une approbation explicite avant de charger ceux provenant de sources non fiables, plutôt que de les traiter automatiquement comme faisant autorité.

Les attaquants pourraient adapter la technique à d’autres emplacements accessibles aux agents de codage, notamment les référentiels clonés, les lecteurs partagés et le contenu des packages.

« Le risque le plus important ne vient pas spécifiquement des téléchargements, mais du modèle plus large d’agents ingérant du contenu non fiable et détenant des informations d’identification en direct », a déclaré Grover.

Sécuriser les agents de codage de l’IA

Ces résultats surviennent dans un contexte d’incertitude quant à la capacité des entreprises à recruter des agents autonomes. Selon Jonathan Ong, analyste principal des services de sécurité gérés chez Omdia, une enquête d’Omdia auprès des décideurs en matière de cybersécurité a révélé que 40 % des personnes interrogées n’avaient qu’une certaine confiance ou pas confiance dans la capacité de leur organisation à sécuriser les agents d’IA.

Ong recommande une surveillance humaine pour identifier les comportements suspects des agents et les restrictions sur les paramètres qui permettent aux agents de contourner les contrôles de sécurité.

« La désactivation d’indicateurs tels que ‘–contourner dangereusement les approbations et le bac à sable’ limiterait l’autorisation de l’agent à exécuter des actions à haut risque », a déclaré Ong.

Amit Kumar Jena, responsable du développement pour l’IA chez Kanerika, a recommandé de traiter les fichiers d’instructions des agents comme le code source, les propriétaires désignés examinant les modifications apportées à AGENTS.md, CLAUDE.md et aux répertoires de configuration associés.

Il a également conseillé de maintenir les bacs à sable activés, de restreindre l’accès au réseau et de router les installations de logiciels via des registres de packages internes ou des proxys d’analyse. Pour les développeurs disposant d’informations d’identification de production sur leurs machines, il a recommandé des environnements de développement isolés et des passerelles contrôlées par l’entreprise avec des jetons d’authentification de plus courte durée. « Un fichier d’instructions peut changer ce que l’agent essaie », a déclaré Jena. « Cela ne doit jamais changer ce que l’agent est autorisé à faire. »