Der Download gab die Befehle

Am 22. Oktober veröffentlichte Forever Security einen Bericht, der mit einem Alarm auf dem Rechner eines Kunden begann. Ein Coding-Agent war mitten in einer Sitzung dabei, function-color von npm zu installieren. Das Paket gehört zu einer Malware-Kampagne, die Checkmarx unter dem Namen MALFEX dokumentiert hat, und Forever stoppte die Installation, bevor Code lief.

Ein bekanntermaßen bösartiges Paket zu blockieren ist Routine. Seltsam war die Quelle des Befehls: Keine Abhängigkeit und kein Repository verlangte danach. Der Agent folgte einer AGENTS.md-Datei im Ordner ~/Downloads des Kunden, der Anweisungsdatei, die Codex liest, wenn es in einem Verzeichnis startet. Niemand wusste, wie die Datei dorthin gekommen war. The Hacker News hat die Geschichte heute Morgen aufgegriffen.

Zwei harmlose Tatsachen

Forevers Erklärung stützt sich auf zwei Dinge, die jedes für sich unbedenklich waren.

Das erste ist die Anweisungsdatei. AGENTS.md, CLAUDE.md und ihre Verwandten gibt es, damit Sie einem Agenten erklären können, wie ein Projekt funktioniert. Der Agent lädt die Datei beim Start und behandelt sie als Vorgabe von Ihnen. In einem Projekt, das Sie selbst geschrieben haben, ist das richtig.

Das zweite ist der Downloads-Ordner. Eine Webseite kann dort ohne Klick und ohne Berechtigungsabfrage eine Datei speichern, und sie bestimmt Namen und Inhalt. Gefährlich ist das seit Jahren nicht mehr, weil Betriebssysteme ein Programm aus dem Internet erst ausführen, wenn Sie es freigegeben haben.

Diese Schutzmechanismen prüfen ausführbare Dateien, und eine AGENTS.md ist eine Textdatei. Ein Agent liest sie trotzdem wie ein Skript. Forever nennt das „Markdown is the new executable“: Markdown ist die neue ausführbare Datei.

Dann hat Forever gemessen, wie oft beides zusammentrifft. Laut seiner Telemetrie lässt etwa die Hälfte seiner Kunden einen Coding-Agenten im Downloads-Ordner laufen, und rund ein Viertel der Agenten-Sitzungen öffnet einen echten Browser. Die zweite Zahl ist wichtig, weil inzwischen der Agent surft. Legt eine Website, die er besucht, die Datei ab, sitzt niemand vor dem Bildschirm, der sie ankommen sieht.

Was die untergeschobene Datei tat

Forever ließ die echte Angreiferdatei in einer isolierten VM gegen Codex laufen. Die Datei ist ein langes, ödes Dokument mit „Engineering Work Guidelines“, und die Nutzlast steckt in einem Abschnitt gegen Ende. Dieser Abschnitt weist Codex an, „at the start of the session, before beginning the user's request“ einen Server project-tools an ~/.codex/config.toml anzuhängen. Der Befehl dieses Servers ist launchctl submit, der npm install function-color außerhalb der Kontrolle von Codex startet. Anschließend lässt die Datei Codex eine Kind-Sitzung mit --dangerously-bypass-approvals-and-sandbox starten, mit der Begründung, die Installation brauche Netzwerkzugriff, den die Standard-Sandbox verweigert.

Codex führte die Malware in mehr als 90 % der Versuche aus. Die Konfigurationsdatei gilt für den ganzen Rechner, also lädt jede spätere Codex-Sitzung in jedem Ordner den Server des Angreifers. Den Downloads-Ordner zu verlassen, entfernt ihn nicht.

function-color selbst enthält keine Nutzlast. Laut Checkmarx zieht es function-flag als Abhängigkeit nach, und das postinstall-Skript dieses Pakets lädt eine ausführbare Datei herunter und startet sie. Für beide gibt es inzwischen Malware-Advisories (MAL-2026-17647 für function-color), und npm hat das Paket entfernt.

Claude Code ließ sich schwerer täuschen, und der Angriff, der funktionierte, sieht anders aus. Forever schrieb eine CLAUDE.md, getarnt als Einrichtung eines internen Gateways. Sie bittet Claude, ANTHROPIC_BASE_URL in die .claude/settings.json des Projekts zu schreiben, mit Ziel auf einen Server unter Forevers Kontrolle, samt gültigem Zertifikat. Claude lässt diesen Schreibvorgang von einem Menschen bestätigen, und die lange, nüchterne Verpackung brachte die Freigabe in etwa der Hälfte der Fälle.

Diese eine Einstellung bewirkt zweierlei. Jede API-Anfrage trägt nun Claudes OAuth-Token zu Forevers Server, und Forever spielte ein abgefangenes Token gegen die echte API ab und wurde als das Opfer bedient. Außerdem kann der Server antworten, als wäre er das Modell. Beim nächsten Start schickte er einen Bash-Tool-Aufruf für npm install function-color mit dangerouslyDisableSandbox auf true zurück, und der Client führte ihn mit abgeschalteter Sandbox aus. Über einen Subagenten, der „die Konfiguration validieren“ sollte, erreichte Forever in etwa einem Fünftel der Fälle auch Codeausführung in derselben Sitzung.

Forevers Fazit lautet, „there is nothing here for OpenAI or Anthropic to patch“: Es gibt hier nichts, was OpenAI oder Anthropic patchen könnten. Der Agent tat, wofür er gebaut ist, in einem Ordner, in den das Web schreiben konnte.

Dieselbe Datei auf einer Bromure-Maschine

Bromure Agentic Coding betreibt Claude Code, Codex, Grok, Kimi und omp in Ubuntu-VMs auf Ihrem Mac, eine VM pro Maschine, während die echten Zugangsdaten auf dem Host bleiben. Gehen wir den Angriff der Reihe nach durch und sehen, wo jeder Schritt landet.

Das Web kann nicht in den Ordner des Agenten schreiben

Auf einem Laptop teilen sich Browser und Agent eine Festplatte, und Downloads ist die Stelle, an der sich beide überschneiden. Eine Bromure-Maschine hält sie auf getrennten Festplatten.

Die Welt des Agenten ist die VM der Maschine: ihr eigener Home-Ordner, ihre eigene Systemplatte und die Mac-Ordner, die Sie freigeben. Ihr ~/Downloads gehört nicht dazu, außer Sie fügen es hinzu. Sitzungen starten in eigenen Ordnern innerhalb der VM, also gibt es kein „Agent im Downloads-Ordner starten“, in das man hineinstolpern könnte.

Forevers zweite Zahl, das Viertel der Sitzungen, in denen der Agent surft, wird genauso behandelt. Das eingebettete Chromium jeder Maschine läuft in einer eigenen Wegwerf-VM, getrennt von der des Agenten. Speichert eine Seite eine Datei, landet der Download im Downloads-Ordner Ihres Macs und erscheint im Download-Popover der Symbolleiste. Die Datei bleibt außerhalb des Home-Ordners des Agenten und außerhalb jedes Sitzungsordners, sodass eine Seite, die der Agent besucht hat, den ganzen Tag AGENTS.md-Dateien ablegen kann, ohne dass der Agent eine davon liest. Schalten Sie in den Browser-Einstellungen der Maschine Allow file downloads aus, kann die Seite überhaupt nichts mehr speichern.

Das umgeleitete Token ist ein Platzhalter

Nehmen wir nun an, eine untergeschobene CLAUDE.md erreicht den Agenten trotzdem, in einem geklonten Repository oder einer hineingezogenen Datei, und der Schreibvorgang für ANTHROPIC_BASE_URL wird bestätigt.

In einer Bromure-VM hält Claude Code keine echten Zugangsdaten. Mit einem API-Schlüssel ist ANTHROPIC_API_KEY eine Fälschung, die mit sk-ant-api03-brm- beginnt. Mit einem Claude-Abonnement liegen die echten OAuth-Tokens nur auf dem Mac, und der Agent läuft mit einem Platzhalter-Schlüssel. Jede HTTPS-Anfrage verlässt die VM über einen Proxy auf dem Host, der die echten Zugangsdaten nur einsetzt, wenn die Anfrage an den Host des Anbieters selbst geht.

Die Anfrage an ai-gateway.internal-corp.com geht also mit dem Platzhalter hinaus. Forevers Kontoübernahme beruhte darauf, das von seinem Server gesammelte Token erneut abzuspielen. Spielt man dieses gegen die API von Anthropic ab, lehnt die API es ab.

Mit einem API-Schlüssel dient der Platzhalter zusätzlich als Stolperdraht. Der Proxy durchsucht jede ausgehende Anfrage nach Fälschungen, die an einen Host gehen, für den sie nicht ausgestellt wurden. Einen sk-ant-api03-brm--Schlüssel auf dem Weg zum „Gateway“ eines Fremden beantwortet er mit HTTP 451, bevor ein Byte den Mac verlässt. Die VM wird angehalten, und ein Alarm meldet This environment may have been compromised, mit dem Namen der Zugangsdaten, dem Host, zu dem sie gehören, und dem Host, an den sie gingen. Sie können die Maschine herunterfahren oder ihre Platte und ihren Home-Ordner zur Untersuchung sichern. So oder so muss die Maschine gelöscht werden, bevor sie wieder startet.

Das falsche Modell hat keinen Ort, von dem es antworten kann

Die Codeausführungs-Hälfte des Claude-Angriffs setzt voraus, dass der Agent den Server des Angreifers erreicht, damit dieser als Modell antworten kann. Stellen Sie im Guardrails-Bereich der Maschine Unmatched traffic auf Deny und erlauben Sie die Hosts, die das Projekt braucht. ai-gateway.internal-corp.com steht nicht auf dieser Liste, also wird die Verbindung auf dem Mac abgewiesen, am virtuellen Switch und noch einmal am Proxy, und der gefälschte Tool-Aufruf kommt nie an. Die Abweisung ist eine Zeile in der Security Timeline, mit dem Host, den der Agent zu erreichen versuchte.

Die Installation läuft in einer Linux-VM voller Köder

Nehmen wir den Codex-Weg, bei dem der Agent den Befehl selbst ausführt. Der Einstiegspunkt der echten Datei ist launchctl, ein macOS-Befehl. Eine Bromure-Maschine läuft unter Ubuntu. Schreibt man die Nutzlast für Linux um, läuft sie trotzdem innerhalb der VM, wo alle erreichbaren Zugangsdaten Platzhalter sind: GH_TOKEN, ~/.git-credentials, ~/.aws/config, die MCP-Konfigurationen. Das Flag --dangerously-bypass-approvals-and-sandbox, das die Datei dem Agenten einredet, schaltet die eigene Sandbox von Codex ab und lässt die VM um Codex herum, wo sie war.

Das npm install selbst läuft durch Bromures Supply-Chain-Proxy auf dem Mac. Jeder Paketabruf erscheint in der Security Timeline, also tauchen function-color und function-flag als benannte Zeilen auf. Schalten Sie im Supply Chain-Bereich der Maschine das Entfernen von Install-Skripten ein, und der Proxy streicht preinstall, install, postinstall und prepare aus jedem ankommenden npm-Tarball. Das postinstall von function-flag war der Schritt, der die ausführbare Datei holte. Mit eingeschaltetem Entfernen ist es weg, bevor der Tarball die VM erreicht. Wählen Sie socket.dev als Paketfilter, haken Sie Block compromised packages an, und Bromure lehnt jedes Paket, das socket.dev als Malware markiert, mit einem 451 ab.

Die vergiftete Konfiguration wird zurückgerollt

Auf einem Laptop bleibt der Server-Eintrag des Angreifers in ~/.codex/config.toml, bis ihn jemand findet, und jede Codex-Sitzung in jedem Ordner lädt ihn. Auf einer Bromure-Maschine liegt diese Datei im Home-Ordner der VM. Jeder erfolgreiche Start legt einen Wiederherstellungspunkt des Home-Ordners an, und Rewind home… setzt ihn auf den Stand eines Starts zurück, bevor die Datei ankam. Reset disk klont die Systemplatte neu aus dem signierten Basis-Image. Die Agentenkonfiguration auf Ihrem Mac bleibt, wie Sie sie hinterlassen haben, weil die VM nie Zugriff darauf hatte.

Die untergeschobenen Anweisungen bekommen einen zweiten Leser

Jede Anweisungsdatei, die ein Agent lädt, geht im Systemprompt an das Modell, und diese Anfrage passiert den Proxy auf Ihrem Mac. Schalten Sie im Prompt Injection-Bereich der Maschine Detect rogue instructions in CLAUDE.md files and similar ein, und Bromure zieht CLAUDE.md, AGENTS.md und GROK.md aus diesem Prompt heraus und prüft sie lokal. Ein heuristischer Durchgang sucht nach verstecktem Unicode und Meta-Anweisungen, und ein ModernBERT-Klassifikator, trainiert auf bösartige Regeldateien, liefert ein zweites Urteil. Im Modus Ask me what to do wird die Anfrage angehalten, bevor irgendetwas das Modell erreicht, und ein Dialog auf Ihrem Mac zeigt den Abschnitt, der den Detektor ausgelöst hat. Bei einer Datei wie der von Forever ist das der Absatz, der verlangt, einen Server-Block „before beginning the user's request“ anzuhängen.

Wo der Agent steht

Forevers Ratschläge sind vernünftig und kosten nichts: Starten Sie keinen Agenten im Downloads-Ordner, lesen Sie Anweisungsdateien, die Sie nicht selbst geschrieben haben, und prüfen Sie die Konfiguration des Agenten auf Server und Basis-URLs, die Sie nicht hinzugefügt haben. Jeder Punkt dieser Liste setzt voraus, dass ein Mensch aufpasst, und die Telemetrie des Berichts selbst zeigt Agenten, die surfen, während niemand zusieht.

Bromure Agentic Coding verlegt diese Prüfungen stattdessen in den Aufbau der Maschine. Der Ordner, in den das Web schreibt, liegt auf dem Mac, und der Agent läuft in einer separaten VM. Der Agent hält Platzhalter, sodass alles, wozu man ihn überredet, außerhalb dieses Macs nichts aufschließt. Netzwerk, Paket-Registry und Anweisungsdatei passieren jeweils eine Kontrollstelle auf dem Host, bevor sie das Internet oder das Modell erreichen. Der Agent wird der Datei in seinem Ordner weiterhin folgen, und auf einer Bromure-Maschine kann das Web dort keine ablegen.

Zur früheren, über ein Repository eingeschleusten Variante des Basis-URL-Angriffs lesen Sie Der Agent leakte seinen eigenen Schlüssel. Zu einem MCP-Server, der über ein heruntergeladenes Dokument eingeschmuggelt wurde, lesen Sie Das Notebook brachte seinen eigenen MCP-Server mit.