Claude Code और Codex उस फ़ाइल का हुक्म मानते हैं जिसे कोई भी वेबसाइट Downloads में डाल सकती है

अब कोई वेबसाइट आपके Downloads फ़ोल्डर में एक टेक्स्ट फ़ाइल सेव करके आपके कंप्यूटर पर मौजूद AI कोडिंग एजेंट को निर्देश दे सकती है। Forever Security के शोधकर्ताओं को एक ग्राहक की मशीन पर पहले से रखी गई AGENTS.md फ़ाइल मिली—यह सादे टेक्स्ट में लिखे निर्देशों वाली फ़ाइल है, जिसे OpenAI के Codex जैसे टूल शुरू होते समय पढ़ते हैं। उसमें एजेंट को मालवेयर के एक पहचाने हुए नमूने को इंस्टॉल करने के लिए कहा गया था। अगर आपने कभी किसी डाउनलोड की हुई फ़ाइल पर काम करने या Downloads फ़ोल्डर को व्यवस्थित करने के लिए उसमें Claude Code या Codex चलाया है, तो आपने उस फ़ोल्डर पर उतना ही भरोसा किया है जितना अपने किसी प्रोजेक्ट पर करते हैं।

एजेंट ने अपने नियमों के हिसाब से कुछ भी गलत नहीं किया। AGENTS.md और Claude की इसी तरह की फ़ाइल CLAUDE.md इसलिए बनाई गई हैं, ताकि कोई प्रोजेक्ट एजेंट को बता सके कि कौन-से टूल इस्तेमाल करने हैं और उसके टेस्ट कैसे चलाने हैं। एजेंट को इन निर्देशों का पालन करने के लिए ही बनाया गया है। शोधकर्ताओं का कहना है कि Downloads ही वह फ़ोल्डर है जिसे वेब अपने आप भर सकता है। उनका कहना है, “यहाँ ऐसा कुछ नहीं है जिसे OpenAI या Anthropic पैच करके ठीक कर सके। अपने फ़ोल्डर में मौजूद AGENTS.md के निर्देश मानने वाला एजेंट ठीक वही कर रहा है, जिसके लिए उसे बनाया गया है।”

असली फ़ाइल 13 KB का एक दस्तावेज़ था, जिसका शीर्षक इंजीनियरिंग दिशानिर्देश था। हमले के निर्देश उसके लगभग आख़िर में छिपे थे और उन्हें सेटअप नोट जैसी शांत भाषा में लिखा गया था। उसमें Codex से कहा गया था कि वह अपने कॉन्फ़िगरेशन में “project tools” सर्वर जोड़े और function-color नाम का npm पैकेज इंस्टॉल करे। शोधकर्ताओं के मुताबिक, यह उस अभियान का मालवेयर है जो करीब दो साल तक किसी की नज़र में नहीं आया। Forever के सॉफ़्टवेयर ने कोड चलने से पहले ही इंस्टॉलेशन रोक दिया। टीम के परीक्षणों में—जिनमें से ज़्यादातर में एक ऐसे सुरक्षित विकल्प का इस्तेमाल हुआ जो सिर्फ़ कैलकुलेटर खोलता था—Codex ने 90 प्रतिशत से ज़्यादा कोशिशों में फ़ाइल के निर्देश माने। असली पैकेज भी एक बार अलग-थलग वर्चुअल मशीन में चल गया। यह बदलाव Codex की पूरे कंप्यूटर पर लागू होने वाली सेटिंग्स फ़ाइल में दर्ज होता है, इसलिए बाद में Codex का हर सत्र, किसी भी फ़ोल्डर में, हमलावर का सर्वर लोड करता है।

Claude Code को झाँसा देना ज़्यादा मुश्किल था। टीम ने अपनी CLAUDE.md फ़ाइल बनाई, जो Claude को अपना API ट्रैफ़िक हमलावर के नियंत्रण वाले सर्वर पर भेजने के लिए राज़ी करती है। इसे कंपनी के गेटवे जैसा दिखाया गया था। इस एक सेटिंग से Claude का लॉगिन टोकन हमलावर के हाथ लग जाता है। शोधकर्ताओं ने पीड़ित बनकर Anthropic के असली API पर इस टोकन का दोबारा इस्तेमाल किया। इससे फ़र्ज़ी सर्वर मॉडल की तरह जवाब दे सकता है और सैंडबॉक्स बंद रखते हुए निर्देश भेज सकता है। Claude इस तरह की सेटिंग बदलने से पहले इंसान से मंज़ूरी माँगता है और अक्सर मना भी कर देता है, लेकिन करीब आधे मामलों में बदलाव फिर भी लागू हो गया।

यह फ़ाइल किसी मशीन तक पहुँचाना आपकी सोच से भी आसान है। Chrome, Edge और Firefox आम तौर पर डाउनलोड की गई फ़ाइलों को बिना यह पूछे इसी फ़ोल्डर में सेव करते हैं कि उन्हें कहाँ रखना है। कोई वेबपेज फ़ाइल का नाम और उसकी सामग्री, दोनों चुन सकता है। इस ख़बर की रिपोर्ट करने वाले BleepingComputer ने शोधकर्ताओं का प्रूफ़-ऑफ़-कॉन्सेप्ट पेज खोला और देखा कि वह एक सुरक्षित AGENTS.md फ़ाइल डाउनलोड कर देता है। Brave ने पहले अनुमति माँगी। Forever के शोधकर्ता गैल वाइज़मैन (Gal Weizman) ने प्रकाशन को बताया कि कंपनी के सैकड़ों ग्राहक Claude Code, Codex या Cursor के कमांड-लाइन एजेंट को Downloads से चलाते हैं। सिर्फ़ Claude Code ने ही वहाँ 1,300 से ज़्यादा सत्र शुरू किए थे।

इस शोध में कुछ सवाल अनुत्तरित हैं। Forever यह पता नहीं लगा पाया कि मालवेयर वाली फ़ाइल उसके ग्राहक के कंप्यूटर तक कैसे पहुँची। हमले के लिए यह भी ज़रूरी है कि उसके बाद कोई उस फ़ोल्डर में एजेंट शुरू करे। Chrome, Edge और Firefox डाउनलोड की सूचना ज़रूर देते हैं, जिस पर सतर्क उपयोगकर्ता की नज़र पड़ सकती है। असली पेलोड macOS के लिए लिखा गया था। Forever AI एजेंटों की निगरानी करने वाला सॉफ़्टवेयर भी बेचता है, इसलिए जिस जोखिम का वह ज़िक्र कर रहा है, उसमें कंपनी का व्यावसायिक हित भी है। रिपोर्ट में OpenAI या Anthropic की ओर से कोई जवाब शामिल नहीं है। ये टूल दुनिया भर में बेचे जाते हैं, इसलिए जहाँ भी डेवलपर इनका इस्तेमाल करते हैं, वहाँ जोखिम एक-सा है।

बचाव का बड़ा हिस्सा सही आदतें अपनाने में है। Downloads में कभी कोडिंग एजेंट शुरू न करें। इसके बजाय उसे उसी प्रोजेक्ट के फ़ोल्डर से चलाएँ जिस पर उसे काम करना है—OpenAI और Anthropic पहले से यही सलाह देते हैं। एजेंट के पढ़ने से पहले ऐसी किसी भी AGENTS.md या CLAUDE.md फ़ाइल को पढ़ें जिसे आपने खुद नहीं लिखा है, और मंज़ूरी माँगने वाले संदेश तथा सैंडबॉक्स चालू रखें। Codex की सेटिंग्स फ़ाइल में ऐसे सर्वर की एंट्री खोजें जिसे आपने नहीं जोड़ा। किसी प्रोजेक्ट की Claude सेटिंग्स में ऐसा API पता देखें जिसे आपने कभी सेट नहीं किया। इनमें से कोई चीज़ मिले, तो लॉगिन टोकन को चोरी हुआ मानकर रद्द करें। जिस भी मशीन पर function-color इंस्टॉल हुआ हो—npm इसे तब तक हटा चुका है—उसे भी संक्रमित मानें।

Forever ने अपनी रिपोर्ट 22 अक्टूबर को प्रकाशित की और BleepingComputer की रिपोर्ट 25 अक्टूबर को आई। शोधकर्ताओं का कहना है कि निर्देशों वाली फ़ाइल पढ़ने और अपना कॉन्फ़िगरेशन बदलने में सक्षम किसी भी एजेंट को इसी तरह अपने काबू में किया जा सकता है। ऐसे में Codex और Claude Code एक लंबी सूची के शुरुआती दो नाम हैं। पहले ब्राउज़र से डाउनलोड की गई फ़ाइल तब तक बेअसर रहती थी, जब तक कोई उसे खोल न ले। अब एजेंट के फ़ोल्डर पढ़ना शुरू करते ही फ़ाइल खुद खुल जाती है।

टैग: OpenAI, साइबर सुरक्षा, Anthropic, AI एजेंट, Claude Code, Forever Security