Nicht im Download-Ordner starten: Manipulierte AGENTS.md kapert Coding-Agenten

Worum es geht

Das israelische Sicherheitsunternehmen Rebora warnt davor, KI-Coding-Agenten im Download-Ordner zu starten. Laut einem Blogbeitrag vom 22. Oktober (Ortszeit) fand das Unternehmen auf dem Rechner eines Kunden eine bösartige Datei namens „AGENTS.md“. Das ist eine Markdown-Textdatei, in der Anweisungen für KI-Agenten stehen, ähnlich wie „CLAUDE.md“ bei Claude Code. ITmedia AI+ berichtet darüber.

So funktioniert der Angriff

Manche Webseiten können Dateien im Download-Ordner ablegen, ohne dass der Nutzer etwas bestätigt. Rebora zufolge nutzen Angreifer das aus, um dort eine präparierte AGENTS.md zu platzieren. Startet man in diesem Ordner einen Coding-Agenten wie OpenAIs Codex oder Anthropics Claude Code, liest dieser die Datei und folgt ihren Anweisungen. Das kann dazu führen, dass der Agent:

• seine eigene Konfiguration umschreibt,
• Malware installiert,
• sein Login-Token (den Zugangsschlüssel zum Konto) an Dritte schickt und so eine Kontoübernahme ermöglicht.

Das ist eine Form der Prompt Injection: Fremde Anweisungen werden in Inhalte geschmuggelt, die die KI als vertrauenswürdig behandelt.

Zahlen aus dem Test

Das sind Reboras eigene Testergebnisse; Details zur Methodik nennt die Quelle nicht.

Kein klassischer Fehler

Rebora betont, der Angriff nutze das normale Format für Agenten-Anweisungen, und die Agenten verhielten sich spezifikationsgemäß. Deshalb gebe es „nichts, was OpenAI oder Anthropic beheben müssten“. Die Verantwortung liege beim Nutzer.

Empfohlene Gegenmaßnahmen

• Agenten nicht im Download-Ordner (~/Downloads) starten.
• Prüfen, ob Anweisungsdateien wie AGENTS.md oder CLAUDE.md vorhanden sind, die man nicht selbst geschrieben hat.
• Kontrollieren, ob dem Agenten unbekannte MCP-Server, Proxys oder API-Endpunkte konfiguriert wurden.
• Einstellungen aktivieren, bei denen der Agent um Freigabe fragt oder in einer Sandbox läuft.
• Bei gefundenen Spuren Tokens als kompromittiert betrachten: API-Schlüssel und OAuth-Tokens widerrufen und neu ausstellen.

Einordnung

Der Fall zeigt, dass Agenten Dateien im Arbeitsordner als Befehle ansehen und das ausgenutzt werden kann. Dass die Hersteller nichts „reparieren“ müssten, ist Reboras Sicht; man kann das auch anders bewerten, etwa durch strengere Rückfragen bei unbekannten Anweisungsdateien. Unklar bleibt, wie verbreitet der Angriff ist; die Quelle nennt nur einen entdeckten Fall bei einem Kunden. Praktisch gilt: Agenten nur in Ordnern starten, deren Inhalt man kennt, und Freigabe- und Sandbox-Funktionen nutzen.