AGENTS.md também é uma fronteira de confiança, não só documentação

A Forever Security encontrou um AGENTS.md malicioso em Downloads após detectar uma tentativa de instalação do pacote npm function-color.[1] O agente havia sido iniciado naquele diretório e incorporou o arquivo como orientação do projeto.[1] A origem do arquivo no computador não foi determinada.[1]

O ponto de engenharia não é o nome do arquivo. É a promoção de conteúdo recebido a autoridade sobre uma ferramenta que executa ações. Documentação de projeto precisa entrar no modelo de ameaças quando influencia comandos, dependências e configuração.

O que muda para quem desenvolve

Os pesquisadores demonstraram separadamente que uma página pode iniciar o download de um arquivo chamado AGENTS.md.[1] Nos testes relatados, Chrome, Edge e Firefox salvaram o arquivo sem pedir um destino, mas mostraram notificações; o Brave pediu aprovação.[1] A cadeia depende de o agente ser aberto depois no diretório contaminado, não de execução automática ao visitar a página.[1]

Minha leitura: escolher o diretório de trabalho é também escolher uma fronteira de confiança. Uma pasta que mistura anexos, arquivos baixados e projetos não deveria receber os mesmos privilégios de um repositório revisado. O agente usado para organizar arquivos precisa de permissões diferentes das concedidas ao agente que altera software.

Como aplicar

Adote uma etapa de entrada para projetos externos: identifique arquivos de instrução, leia as orientações e autorize explicitamente o que pode influenciar a sessão. Abra o agente na raiz pretendida, com acesso restrito aos recursos necessários. Não disponibilize credenciais de publicação em tarefas de classificação de documentos.

Um experimento seguro pode usar uma pasta descartável, sem segredos e sem acesso a serviços reais. Inclua um arquivo de instrução com um pedido inofensivo, como acrescentar uma palavra a uma resposta. Compare o comportamento quando a pasta é tratada como projeto e quando seus arquivos são fornecidos apenas como dados. Registre quais instruções foram carregadas e quais ações exigiram aprovação. Isso avalia a configuração escolhida, não a segurança universal do produto.

Cuidados e limites

Na reconstrução com carga inofensiva, o Codex abriu a calculadora em 90% dos testes; outro experimento com CLAUDE.md redirecionou tráfego de API e expôs um token OAuth.[1] Esses resultados pertencem aos cenários experimentais descritos, não representam taxas gerais de exploração.[1]

Isolamento e revisão têm custo operacional, mas evitam depender exclusivamente de o modelo reconhecer uma instrução hostil. A meta não deve ser proibir documentação para agentes. Deve ser impedir que qualquer arquivo recebido ganhe, silenciosamente, o poder de decidir como o ambiente será usado.

Fonte

[1] Fonte: BleepingComputer