Tệp độc hại trong thư mục Downloads tìm cách lừa AI coding agent cài package npm chứa mã độc
Theo công ty bảo mật Forever Security, một tệp chỉ dẫn độc hại trong thư mục Downloads của một nhà phát triển đã tìm cách thuyết phục AI coding agent cài đặt một package npm đã được xác định là độc hại. Công ty phát hiện cuộc tấn công trên máy tính của một khách hàng thực tế và chặn agent trước khi bất kỳ đoạn mã nào được chạy, nhưng không xác định được tệp này đã xuất hiện trong thư mục bằng cách nào. Sự cố cho thấy một rủi ro mới với AI coding agent: chúng có thể coi các tệp không đáng tin là chỉ dẫn, vì vậy nhà phát triển nên ngăn agent tự động chạy lệnh hoặc cài dependency.
Lập trình viên và doanh nghiệp dùng AI coding agent nên coi các tệp chỉ dẫn trong thư mục tải xuống là không đáng tin, đồng thời tắt quyền tự động chạy lệnh hoặc cài package. Sự cố cho thấy agent có thể bị đánh lừa bởi nội dung độc hại trước khi mã độc thực sự chạy.
Đọc bài gốc