Hosting & VPS
Tên miền
Proxy
AGENTS.md độc hại đặt trong thư mục Downloads có thể khiến AI coding agent chạy lệnh của kẻ tấn công. Công ty Forever Security công bố phát hiện này trên blog ngày 22/10/2026, và BleepingComputer đưa tin ngày 25/10. Nhóm nghiên cứu tìm thấy một file AGENTS.md giả làm ghi chú kỹ thuật trong thư mục Downloads của một khách hàng. Agent mở thư mục đó đã cố cài gói npm độc hại function-color.
Tóm tắt nhanh
- Vấn đề: agent tự đọc file hướng dẫn trong thư mục làm việc, còn trình duyệt có thể tự ghi file vào Downloads.
- Bằng chứng thực tế: file AGENTS.md trên máy khách hàng yêu cầu cài gói npm
function-color. - OpenAI Codex: chạy mã độc hơn 90% số lần thử nghiệm trong máy ảo cô lập.
- Claude Code: file CLAUDE.md giả chuyển hướng lưu lượng API, làm lộ OAuth token trong khoảng một nửa số lần thử.
- Bản vá: không có. Đây là hành vi đúng thiết kế, người dùng phải tự phòng.
Vì sao thư mục Downloads nguy hiểm?
Các agent như Codex hay Claude Code tự nạp file hướng dẫn (AGENTS.md, CLAUDE.md) trong thư mục chúng được mở. File này không phải chương trình chạy được, nhưng nội dung của nó có thể khiến agent chạy lệnh, cài gói hoặc đổi cấu hình.
Theo Forever Security, Downloads là "thư mục duy nhất mà web có thể tự ghi vào". Chrome, Edge và Firefox mặc định lưu file tải về vào đây. Một trang web có thể âm thầm thả file AGENTS.md vào Downloads. Khi người dùng mở agent tại đó để dọn dẹp file hay xử lý tài liệu mới tải, agent sẽ đọc và làm theo hướng dẫn giả.
Nhóm nghiên cứu cho biết khoảng một nửa khách hàng của họ từng chạy coding agent trong thư mục Downloads. Riêng Claude Code có hơn 1.300 phiên được khởi chạy từ vị trí này theo số liệu nội bộ mà BleepingComputer dẫn lại. Hiện chưa rõ file độc hại đã đến máy nạn nhân bằng cách nào.
Kết quả với Codex và Claude Code
| Agent | Kỹ thuật | Hậu quả |
|---|---|---|
| OpenAI Codex | Dùng chính file AGENTS.md của kẻ tấn công | Chạy mã độc hơn 90% lần thử; file còn sửa cấu hình toàn máy để máy chủ độc hại được nạp ở các phiên sau |
| Claude Code | File CLAUDE.md tự soạn, chuyển hướng lưu lượng API sang máy chủ của nhóm nghiên cứu | Lộ OAuth token, có thể dẫn tới chiếm tài khoản và chạy mã; tỷ lệ thành công thấp hơn Codex |
Lưu ý: kỹ thuật với Claude Code là kỹ thuật liên quan do nhóm nghiên cứu tự dựng, không phải cùng chuỗi tấn công đã gặp ngoài thực tế.
Rủi ro với người quản trị VPS và website
Máy của lập trình viên và quản trị viên thường chứa những thứ kẻ tấn công thèm muốn nhất: SSH key vào VPS, token cloud, file .env chứa mật khẩu database, token npm hay GitHub. Một agent bị điều khiển có thể đọc và gửi đi tất cả. Tháng 10/2026 đã có nhiều vụ chuỗi cung ứng nhắm vào công cụ lập trình, như LiteLLM 1.107.0 bị cài mã độc, nên đây không phải rủi ro lý thuyết.
Cách phòng tránh
- Không mở agent trong Downloads, thư mục home hay thư mục cha rộng. Chỉ chạy trong đúng thư mục dự án. Đây cũng là khuyến nghị của OpenAI và Anthropic.
- Đọc trước mọi AGENTS.md, CLAUDE.md lạ mà bạn không tự viết, trước khi cho agent đọc.
- Kiểm tra cấu hình agent: xem
~/.codex/config.tomlvà.claude/settings.jsontrong dự án có máy chủ MCP lạ hoặc địa chỉ API bị đổi không. - Giữ bật hộp thoại xác nhận và sandbox. Không dùng chế độ tự động chấp nhận mọi lệnh trên máy chứa khóa quan trọng.
- Tìm dấu hiệu bị nhiễm: chạy
npm ls -g function-colorvà tìmfunction-colortrongnode_modulescác dự án. Nếu thấy, coi như máy đã bị xâm nhập. - Đổi bí mật nếu nghi ngờ: đổi SSH key truy cập VPS, token cloud, mật khẩu database từ một máy sạch khác.
- Đổi thư mục tải mặc định của trình duyệt hoặc bật hỏi nơi lưu mỗi lần tải để giảm việc file tự rơi vào Downloads.
"Markdown là file thực thi mới"
Đó là cách Forever Security tóm tắt vấn đề. Khi agent có quyền chạy lệnh, một file văn bản cũng nguy hiểm như một script. Hãy đối xử với file hướng dẫn agent giống như file .sh tải từ Internet: chưa đọc thì chưa chạy.
