Cảnh báo: Tệp tin độc hại trong thư mục Downloads đang tìm cách thao túng AI Coding Agent

Một báo cáo mới từ công ty bảo mật Forever Security đã cảnh báo về một chiến dịch tấn công tinh vi nhắm vào các lập trình viên sử dụng AI Coding Agent. Kẻ tấn công đã lợi dụng cơ chế hoạt động của các công cụ này để thực thi mã độc thông qua các tệp tin hướng dẫn giả mạo.

Cơ chế tấn công

Kẻ gian đã đặt một tệp tin có tên AGENTS.md vào thư mục Downloads của nạn nhân. Đây là tệp tin văn bản thuần túy chứa các chỉ dẫn mà các AI Coding Agent (như OpenAI Codex) thường tự động đọc và thực thi khi khởi chạy trong một thư mục. Tệp tin này được ngụy trang dưới dạng các ghi chú kỹ thuật thông thường, nhưng thực chất chứa lệnh yêu cầu AI cài đặt một gói npm độc hại có tên function-color.

Gói function-color này là một phần của chiến dịch malware mang tên MALFEX, có khả năng tải xuống và thực thi các payload độc hại trên hệ điều hành Windows.

Tại sao phương thức này hiệu quả?

Theo Forever Security, cuộc tấn công dựa trên hai yếu tố chính:

• Sự tin tưởng của AI: Các AI Coding Agent được thiết kế để tuân thủ các chỉ dẫn trong tệp tin cấu hình tại thư mục làm việc.
• Tự động tải xuống: Một trang web có thể tự động lưu tệp tin vào thư mục Downloads mà không cần sự tương tác hay xác nhận của người dùng.

Khi kết hợp, kẻ tấn công có thể đưa tệp tin “lệnh” vào thư mục mà AI tin tưởng, từ đó chiếm quyền điều khiển hoặc cài đặt mã độc mà không cần khai thác lỗ hổng zero-day hay bypass bảo mật phức tạp nào.

Kết quả thử nghiệm

Các nhà nghiên cứu đã thử nghiệm với OpenAI Codex và Claude Code. Với Codex, tệp tin độc hại đã thành công trong hơn 90% trường hợp, thậm chí thay đổi cấu hình ~/.codex/config.toml để duy trì sự hiện diện lâu dài. Với Claude Code, kẻ tấn công cố gắng thay đổi ANTHROPIC_BASE_URL để chuyển hướng lưu lượng API sang server do chúng kiểm soát, nhằm đánh cắp token đăng nhập.

Khuyến nghị bảo mật

Các chuyên gia nhấn mạnh rằng đây không phải là lỗi cần patch từ phía OpenAI hay Anthropic, vì AI đang thực hiện đúng chức năng được lập trình. Để tự bảo vệ, lập trình viên nên:

• Tránh khởi chạy AI Agent trong thư mục Downloads: Đây là thư mục dễ bị khai thác nhất bởi các trình duyệt.
• Kiểm tra kỹ các tệp tin lạ: Luôn rà soát các tệp tin như AGENTS.md hoặc CLAUDE.md trước khi cho phép AI đọc.
• Giám sát cấu hình: Thường xuyên kiểm tra các tệp cấu hình (như config.toml hoặc settings.json) để phát hiện các thay đổi bất thường về server hoặc API endpoint.
• Sử dụng sandbox: Luôn bật các tính năng kiểm soát quyền truy cập và sandbox để hạn chế phạm vi hoạt động của AI.
• Xoay vòng token: Nếu nghi ngờ đã bị xâm nhập, hãy ngay lập tức thay đổi các token đăng nhập và API key.

Nguồn tham khảo: The Hacker News