Forever Security 연구진은 다운로드 폴더에 놓인 악성 AGENTS.md 파일이 AI 코딩 에이전트에 악성 패키지를 설치하게 만들 수 있다고 밝혔다. 연구진은 OpenAI Codex와 Claude Code를 대상으로 공격을 재현했으며, Claude Code의 OAuth 토큰을 탈취해 계정을 악용하는 관련 기법도 시연했다.

연구진은 한 고객의 컴퓨터에서 코딩 에이전트가 악성 npm 패키지 function-color를 설치하려 한 사례를 조사했다. 원인은 에이전트의 작업 디렉터리로 사용되던 ~/Downloads 폴더의 AGENTS.md 파일이었다. 이런 지시 파일은 실행 파일이 아니지만, 에이전트가 내용을 따르면서 명령 실행이나 패키지 설치 등을 할 수 있다.

연구진은 웹페이지가 사용자에게 별도 확인을 요청하지 않고 AGENTS.md를 다운로드 폴더에 저장할 수 있다고 설명했다. 다만 공격이 성립하려면 사용자가 해당 폴더에서 에이전트를 실행해 파일을 읽게 해야 한다. 연구진은 재현 공격에서 계산기 앱만 여는 무해한 코드를 사용해 Codex에서 90% 성공률을 기록했다. 별도 실험에서는 악성 CLAUDE.md 파일로 Claude Code의 API 트래픽을 연구진이 제어하는 서버로 보내 OAuth 토큰을 노출했고, 서버가 도구 호출을 반환해 코드 실행으로 이어진 비율은 약 50%였다.

연구진은 공격에 브라우저와 에이전트의 정상 동작이 함께 이용됐다고 설명했다. OpenAI와 앤스로픽은 코딩 에이전트를 작업할 프로젝트의 루트 디렉터리에서 실행할 것을 권고한다. 사용자는 ~/Downloads처럼 신뢰할 수 없는 파일이 섞일 수 있는 곳을 작업 디렉터리로 삼지 말고, 낯선 AGENTS.md나 CLAUDE.md 파일을 에이전트가 따르기 전에 검토해야 한다. 승인 확인과 샌드박스 보호를 켜 두고, 신뢰할 수 없는 코드는 격리된 환경에서 시험하는 것도 권고됐다.

Forever Security의 분석

공격 재현용 페이지에서는 무해한 내용이 담긴 파일을 내려받았다고 BleepingComputer가 전했다.