Tin cậy sai thư mục là mở cửa cho chỉ dẫn độc hại
Bảo mật AI coding agent là việc kiểm soát những chỉ dẫn và tiến trình mà agent được phép dùng, bởi chúng có thể hành động với quyền trên máy của nhà phát triển trước khi người dùng nhận ra rủi ro. Một tệp AGENTS.md độc hại trong Downloads cho thấy mối nguy không chỉ nằm trong mã nguồn: nó có thể biến một thư mục tải tệp thành nơi ra lệnh cho agent.
Forever Security phát hiện AGENTS.md trên máy của một khách hàng, trong đó hướng dẫn Codex cài phần mềm độc hại đã biết. Kẻ tấn công giấu chỉ dẫn trong một tài liệu trông như ghi chú kỹ thuật, yêu cầu thêm máy chủ công cụ vào cấu hình và cài gói npm. Trong thử nghiệm, Codex làm theo chỉ dẫn độc hại hoặc mô phỏng vô hại trong hơn 90% số lần; thay đổi cấu hình còn khiến các phiên sau kết nối tới máy chủ do kẻ tấn công kiểm soát.
Đây là dạng prompt injection lập trình dựa trên niềm tin mà công cụ vốn được thiết kế để trao cho tệp dự án. AGENTS.md và CLAUDE.md có ích khi hướng dẫn cách chạy kiểm thử, nhưng nếu mở Claude Code Codex ngay trong Downloads, agent có thể coi nội dung ở đó đáng tin như chỉ dẫn của dự án. Vì vậy, đừng chạy agent từ Downloads; hãy mở đúng thư mục dự án và đọc các tệp hướng dẫn trước.
Git có thể gọi mã trước cả lời nhắc tin cậy
GitSpawn phơi bày một đường tấn công nghiêm trọng hơn: cấu hình .git/config trong kho có thể chỉ định lệnh để agent chạy trên máy nhà phát triển, bên ngoài hộp cát và, ở một số công cụ, trước lời nhắc tin cậy, xác thực hoặc lần gọi mô hình đầu tiên. Đây không phải lỗi mô hình làm theo yêu cầu xấu; đó là lỗi ở cách ứng dụng gọi Git và xử lý cấu hình của kho.
Git thường chạy nền để kiểm tra nhánh, thay đổi và trạng thái tệp. Khi làm mới chỉ mục, Git đọc cấu hình kho; thiết lập core.fsmonitor có thể chỉ định chương trình trợ giúp cần thực thi. Nếu agent không làm sạch hoặc cô lập cấu hình đó, lệnh chạy với quyền của nhà phát triển, ngoài sandbox của agent và không cần một thao tác được mô hình tạo ra. Nói cách khác, thao tác tưởng như vô hại là xem trạng thái Git có thể trao quyền chạy tiến trình cho người tạo kho.
GitSpawn ghi nhận tám phát hiện trên bảy tác nhân: Claude Code, Codex CLI và Codex Desktop, Cursor, Goose, Qwen Code, Grok Build và Hermes Agent. Một số đường chạy kích hoạt mã trước khi hỏi người dùng có tin cậy thư mục hay không. Bốn phát hiện đã có bản vá tại thời điểm công bố, bốn phát hiện còn lại chưa được vá; chưa có báo cáo khai thác thực tế hay thiệt hại được ghi nhận. Dù vậy, đây không phải lý do để xem nhẹ rủi ro: một rào chắn chỉ xuất hiện sau khi lệnh đã chạy thì không còn là rào chắn.
Quy trình an toàn phải bắt đầu trước khi agent đọc kho
Cách giảm rủi ro hiệu quả nhất là thu hẹp niềm tin trước khi mở agent, thay vì trông chờ lời nhắc phê duyệt xuất hiện đúng lúc. Không khởi chạy agent trong Downloads hoặc một thư mục lẫn lộn tệp không rõ nguồn gốc. Với kho không đáng tin, hãy kiểm tra nội dung trước khi để công cụ quét, lập chỉ mục hay gọi Git; yêu cầu phê duyệt và sandbox vẫn cần được bật, nhưng không thể chặn một tiến trình bị kích hoạt trước khi các cơ chế ấy bắt đầu.
- Đọc mọi AGENTS.md và CLAUDE.md mà bạn không tự tạo; bỏ qua hoặc loại bỏ chỉ dẫn yêu cầu cài gói, thêm máy chủ hay đổi cấu hình toàn máy nếu chưa xác minh.
- Kiểm tra .git/config, đặc biệt các thiết lập có thể gọi chương trình trợ giúp như core.fsmonitor; không cho agent mở kho có thư mục .git còn nguyên vẹn từ nguồn không đáng tin trước khi rà soát.
- Xem mã nguồn, tập lệnh cài đặt và cấu hình dự án trước khi cho phép thực thi; bật sandbox và yêu cầu phê duyệt cho thao tác công cụ.
- Kiểm tra cấu hình Codex để tìm máy chủ công cụ mà bạn không tự thêm, nhất là sau khi agent đã xử lý tài liệu hoặc kho đáng ngờ.
Một điểm cần phân biệt: lệnh git clone, fetch hoặc pull thông thường không mang cấu hình độc hại theo đúng cách tấn công này, vì Git không sao chép thiết lập cần thiết từ máy từ xa. Rủi ro tăng khi kho đến với thư mục .git còn nguyên vẹn, chẳng hạn qua một gói hoặc bản sao đã được chuẩn bị sẵn. Do đó, cấu hình Git an toàn không chỉ là lựa chọn tùy chỉnh; nó phải là bước kiểm tra trước khi trao kho cho agent.
Kết luận: coi mọi chỉ dẫn và cấu hình lạ là mã có thể chạy
Hai đường tấn công cùng chỉ ra một sai lầm thiết kế trong thói quen sử dụng: xem tệp văn bản là nội dung thụ động và xem Git là công cụ chỉ đọc. AGENTS.md có thể khiến agent thay đổi cấu hình hoặc cài phần mềm; .git/config có thể khiến Git tự gọi tiến trình với quyền người dùng. Khi làm việc với kho lạ, hãy xác minh hướng dẫn, cấu hình và mã nguồn trước khi khởi động agent, không phải sau khi nó đã bắt đầu. Đó là ranh giới thiết thực nhất để giữ tiện ích của AI coding agent mà không giao quyền kiểm soát máy tính cho một thư mục chưa được tin cậy.
