En tekstfil i Nedlastinger kan kapre kodeagenten din

Kort oppsummert: Sikkerhetsselskapet Forever Security fant en ondsinnet AGENTS.md-fil i Nedlastinger-mappen på en ekte kundes maskin. Filen prøvde å få en AI-kodeagent til å installere skadevare. Det finnes ingen feil for OpenAI eller Anthropic å rette – agentene gjør akkurat det de er laget for. Løsningen ligger hos deg: ikke start agenter i Nedlastinger, les instruksjonsfiler du ikke har skrevet selv, og la sikkerhetssperrene stå på.

I første utgave av Agentposten anbefalte vi å legge en AGENTS.md i prosjektet, slik at kodeagenten vet hva den har lov til. Det rådet står seg. Men forrige uke kom en påminnelse om baksiden: Den samme fila som gir agenten regler, kan også gi den ordre fra noen andre.

Hva skjedde?

Forever Security, et selskap som overvåker hva AI-agenter gjør på datamaskiner, publiserte 22. oktober en rapport om et angrep de stoppet hos en kunde. En kodeagent var i ferd med å installere npm-pakken function-color, som er kjent skadevare. Ordren kom ikke fra et kodeprosjekt, men fra en AGENTS.md som lå i kundens Nedlastinger-mappe – og agenten var startet nettopp der.

Fila var rundt 13 KB med kjedelige «Engineering Work Guidelines». Selve angrepet lå gjemt i én seksjon nær slutten, forkledd som vanlig oppsett av verktøy. Der ble agenten bedt om å legge til en «prosjektserver» i sin egen konfigurasjon og installere pakken. Forever vet fortsatt ikke hvordan fila havnet på maskinen.

Saken er omtalt av blant andre BleepingComputer og The Hacker News.

Hvorfor virker det?

To ting som hver for seg er ufarlige, blir farlige sammen:

1. Agenter er bygget for å følge instruksjonsfila i mappa de starter i. Det er hele poenget med AGENTS.md og CLAUDE.md.
2. En nettside kan lagre en fil i Nedlastinger uten at du klikker på noe. Chrome, Edge og Firefox lagrer som standard nedlastinger der uten å spørre, og nettsiden velger både filnavn og innhold. Du får et lite varsel, men det er lett å overse – og helt nytteløst hvis det er agenten selv som surfer.

Forever bygget en testside som gjorde akkurat dette, og BleepingComputer bekreftet at siden la en ufarlig AGENTS.md i Nedlastinger. I Brave måtte brukeren godkjenne nedlastingen først.

Etter det trengs bare at noen åpner en kodeagent i den mappa. Det skjer oftere enn man skulle tro: Ifølge Forevers egne målinger kjører omtrent halvparten av kundene deres en kodeagent i Nedlastinger, ofte for å rydde i mappa eller jobbe med en fil de nettopp har lastet ned.

Hvor godt virket angrepet?

Forever testet både OpenAI Codex og Claude Code, for det meste med en ufarlig testpakke som bare åpnet kalkulatoren:

• Codex fulgte instruksjonene i over 90 prosent av forsøkene. Endringen ble skrevet til ~/.codex/config.toml, som gjelder for hele maskinen – så den ondsinnede serveren ville lastes i alle senere Codex-økter, uansett mappe. For å komme rundt sandkassen fikk fila Codex til å starte en ny økt med flagget --dangerously-bypass-approvals-and-sandbox.
• Claude Code var vanskeligere å lure. Der fikk en falsk CLAUDE.md agenten til å sende API-trafikken sin via en server forskerne kontrollerte. Det lekker innloggingstokenet – altså kontoovertakelse – og lar serveren late som den er modellen og gi agenten kommandoer. Claude krever godkjenning for en slik endring, men den lange, nøytrale teksten fikk den godkjent omtrent halvparten av gangene.

Forever understreker selv at «det ikke er noe for OpenAI eller Anthropic å patche». Agentene gjør det de er laget for, akkurat som en nettleser som viser en phishing-side.

Noen forbehold: Forever selger overvåking av AI-agenter og har en egeninteresse i at problemet virker stort. Tallene kommer fra deres egne tester og egne kunder, ikke fra en uavhengig gjennomgang. Det er heller ikke bevist at fila i den ekte saken kom via en nettside. Men mekanismen er enkel å forstå, og rådene koster ingenting.

Slik beskytter du deg

Dette er rådene fra Forever og BleepingComputer, pluss to innstillinger fra leverandørenes egen dokumentasjon:

• Start aldri en agent i Nedlastinger. Kopier fila du trenger inn i en egen prosjektmappe og kjør agenten der. OpenAI og Anthropic anbefaler begge å starte agenten i roten av prosjektet den skal jobbe med – ikke i hjemmemappa eller en stor fellesmappe.
• Les instruksjonsfiler du ikke har skrevet selv. En ukjent AGENTS.md eller CLAUDE.md – i Nedlastinger eller i et repo du nettopp har klonet – kan være hele angrepet.
• Sjekk agentens egen konfigurasjon. Se etter [mcp_servers]-blokker du ikke har lagt til i ~/.codex/config.toml, og etter ANTHROPIC_BASE_URL eller andre adresser du ikke har satt i .claude/settings.json.
• Merk mapper som ikke-klarerte. I Codex kan du sette trust_level = "untrusted" for en mappe (Codex-dokumentasjonen). Claude Code spør om du stoler på en ny mappe – svar nei for Nedlastinger.
• La godkjenning og sandkasse stå på. Behandle enhver instruksjon om å slå dem av som fiendtlig.
• Få nettleseren til å spørre hvor filer skal lagres. Da forsvinner den stille nedlastingen til en forutsigbar mappe.
• Har du funnet en slik fil: bytt nøkler. Gå ut fra at innloggingstokenet har lekket, og logg ut og inn på nytt.

Hva betyr det for norske bedrifter?

Mange norske bedrifter har latt utviklere – og stadig flere som ikke er utviklere – ta i bruk Codex, Claude Code, Cursor og lignende verktøy. Denne saken viser at kodeagenter bør behandles som programvare med tilgang til nøkler og systemer, ikke som en avansert autofullføring.

Tre konkrete tiltak:

1. Lag en enkel regel for alle som bruker kodeagenter: Agenter kjøres bare i egne prosjektmapper, aldri i Nedlastinger, på skrivebordet eller i hjemmemappa.
2. Gi agentene minst mulig tilgang. Bruk egne API-nøkler med forbruksgrense for agentarbeid, og ikke la dem bruke de samme nøklene som produksjonssystemene.
3. Ta det med i sikkerhetsopplæringen. Ansatte har lært å ikke åpne ukjente vedlegg. Nå må de også vite at en ufarlig tekstfil kan være en ordre til agenten deres.

Det er ingen grunn til å slutte å bruke kodeagenter. Men som med nye ansatte gjelder det samme: Gi dem et eget kontor, ikke nøkkelen til hele bygget.

Redaksjonen i Agentposten