Dateien wie AGENTS.md sind einfache Textdateien mit projektspezifischen Vorgaben für KI-Coding-Agenten: welche Werkzeuge zu verwenden sind, wie Tests ausgeführt werden und welche Programmierkonventionen gelten. Agenten laden passende Dateien aus ihrem Arbeitsverzeichnis automatisch und richten ihr Handeln danach aus. Ausführbar sind diese Dateien nicht, doch enthaltene Anweisungen können dazu führen, dass ein Agent Befehle ausführt, Pakete installiert oder Einstellungen ändert – mit genau den Werkzeugen und Rechten, die ihm zur Verfügung stehen.

Forever Security, das nach eigener Beschreibung Risiken durch KI-Agenten und autonome Software überwacht, stieß auf die Methode, als ein Coding-Agent beim Kunden die Installation des schädlichen npm-Pakets „function-color" versuchte. Die Untersuchung führte zu einer AGENTS.md-Datei in ~/Downloads, das zugleich als Arbeitsverzeichnis des Agenten diente.

„Hier gibt es nichts, was OpenAI oder Anthropic patchen könnten. Ein Agent, der der AGENTS.md in seinem Ordner folgt, tut genau das, wofür er gebaut wurde", erklären die Forscher.

Wie die Anweisungsdatei auf den Zielrechner gelangte, konnten die Forscher nicht feststellen. Sie erläuterten jedoch, dass bereits der Besuch einer präparierten Webseite ohne jede Nutzerinteraktion eine Datei ablegen kann. In ihrem Bericht aus dieser Woche heißt es: „~/Downloads ist etwas Besonderes. Es ist der eine Ordner, in den das Web von sich aus schreiben kann" – und weiter, eine Webseite könne „still und leise eine Datei namens AGENTS.md in den Downloads-Ordner herunterladen".

Zur Demonstration erstellten die Forscher einen Proof-of-Concept, der eine Datei unbemerkt in ~/Downloads ablegt. Bei einer Überprüfung der PoC-Seite wurde eine AGENTS.md mit harmlosem Inhalt heruntergeladen, nämlich den Zeichenketten „sensitive data here" und „line 2".

Viele verbreitete Browser, darunter Chrome, Edge und Firefox, speichern heruntergeladene Dateien standardmäßig in ~/Downloads, ohne bei jedem Download nach einem Speicherort zu fragen. In anderen Browsern wie Brave muss der Nutzer den Download bestätigen, was auf den Vorgang aufmerksam macht. Chrome, Edge und Firefox zeigen allerdings standardmäßig Download-Benachrichtigungen an und weisen so darauf hin, dass eine Datei lokal gespeichert wurde.

Damit die Kette greift, muss das Opfer seinen KI-Agenten anschließend in genau diesem Verzeichnis starten, damit die Anweisungsdatei geladen und verarbeitet wird. Forever-Forscher Gal Weizman sagte, das sei durchaus üblich: Anwender setzen KI-Agenten häufig ein, um den Downloads-Ordner aufzuräumen oder um mit einer frisch heruntergeladenen Datei zu arbeiten. Interne Statistiken zeigten laut Weizman, dass mehrere Hundert Kunden KI-Agenten – darunter Claude Code, OpenAI Codex und Cursor CLI – aus ihrem ~/Downloads-Ordner heraus betreiben. Allein Claude Code sei von diesem Ort aus in mehr als 1.300 Sitzungen gestartet worden.

Die rekonstruierte Angriffskette testeten die Forscher gegen Codex mit einer harmlosen Nutzlast, die lediglich den Taschenrechner öffnete; die Erfolgsquote lag bei 90 Prozent. In einem separaten Versuch lenkten sie den API-Verkehr von Claude Code über eine bösartige CLAUDE.md auf einen eigenen Server um. Dadurch wurde das OAuth-Token des Agenten offengelegt, sodass der Server sich als Modell ausgeben und Tool-Aufrufe zurückliefern konnte, die in etwa der Hälfte der Tests Code ausführten.

Das Risiko entsteht nach Einschätzung der Forscher aus dem Zusammenspiel von beabsichtigtem Browser- und Agentenverhalten, weshalb Vorsorge und Abwehr unmittelbar beim Nutzer liegen. Konkret sollte ~/Downloads nicht als Arbeitsverzeichnis eines KI-Coding-Agenten dienen, da dort nicht vertrauenswürdige Dateien liegen können, die der Agent als Anweisungen interpretiert.

OpenAI und Anthropic empfehlen übereinstimmend, ihre Coding-Agenten im Wurzelverzeichnis des jeweiligen Projekts zu starten, an dem gearbeitet werden soll – nicht im Benutzerverzeichnis oder einem weit gefassten übergeordneten Ordner. Der Arbeitsbereich sollte so eng wie praktikabel gehalten und nur bei Bedarf erweitert werden. Das Arbeitsverzeichnis legt den Standard-Projektkontext des Agenten fest und bestimmt je nach Werkzeug auch die Grenze seines Dateisystemzugriffs. Ein eng gefasster Projektordner liefert dem Agenten passenden Kontext und verringert die Gefahr, dass er nicht vertrauenswürdige Dateien aus unbeteiligten Verzeichnissen verarbeitet.

Weitere empfohlene Maßnahmen:

  • unbekannte AGENTS.md-, CLAUDE.md- und vergleichbare Anweisungsdateien prüfen, bevor ein Agent ihnen folgen darf
  • Bestätigungsabfragen und Sandbox-Schutzmechanismen aktiviert lassen
  • möglicherweise nicht vertrauenswürdigen Code zuerst in einer isolierten Umgebung testen, bevor er auf dem Hauptsystem läuft