Вредоносный файл, помещённый в папку Downloads, атаковал AI-агента для написания кода, пытаясь обманом заставить его установить вредоносное ПО. Техника опирается на косвенную инъекцию через контекст локальных файлов, а не через сетевой путь, что приближает поверхность атаки к собственной рабочей среде агента сильнее, чем предполагает большинство защит на уровне промпта.
Для команд, которые запускают агентов, читающих локальную файловую систему, эта находка меняет представление о входном канале. Агент, который принимает файлы репозитория, кэшированные загрузки или рабочие заметки, трактует это содержимое как контекст, и любой текст, похожий на инструкцию, внутри него конкурирует с фактическим промптом оператора. Поэтому граница доверия должна проходить вокруг самих данных, а не только вокруг диалога. На практике это означает маркировку происхождения файлов, отделение недоверенных чтений от действий, санкционированных инструментами, и требование явного шага подтверждения перед любой установкой или выполнением, на которые мог повлиять файл.
Что остаётся неясным из публикаций — это конкретный агент и формат файла, точный путь полезной нагрузки и то, удалась ли попытка или была заблокирована. Эти детали важны для оценки масштаба подверженности, поэтому студия рассматривает описанное поведение как сигнал уровня класса, а не как инцидент с одним продуктом. Наборы evaluation для агентных систем должны включать случаи инъекции через локальные файлы наряду со случаями через сеть и проверять, что агент отказывается действовать по инструкциям, найденным в содержимом, которое он лишь прочитал.