Prompt injection у CLAUDE.md і AGENTS.md: як захистити ШІ-агентів для коду

За два дні ми нарахували дев'ять постів різних розробників про той самий прийом: файл з інструкціями в репозиторії наказує ШІ-агенту мовчки запустити скрипт. Розповідаємо, як це працює, що сталося на одному з наших проєктів і що ми перевіряємо, перш ніж агент відкриє чужий код.

Що сталося

Дев'ять постів за два дні

Схема проста. У репозиторії лежить файл з інструкціями, з тих, що ШІ-агенти для коду читають автоматично на початку сесії: CLAUDE.md, AGENTS.md або файл правил для редактора. Він схожий на звичайні домовленості проєкту, а десь усередині стоїть рядок: будь-якому агенту спершу запустити скрипт налаштування, сам скрипт не відкривати, його вивід не показувати й розробника ні про що не питати.

Розробник клонує такий репозиторій, запускає агента з широкими правами, і той виконує все, що лежить у скрипті. Агент нічого не зламує. Він робить саме те, для чого його створили: читає інструкції проєкту й виконує їх.

За один день ми побачили сім постів про це від різних розробників і ще два наступного дня. Коли той самий прийом одночасно з'являється в стількох стрічках, він уже вийшов із наукових статей у звичайну роботу. Нас це стосується напряму: наші команди щодня працюють з ШІ-агентами, на своїх системах і на проєктах клієнтів, і це справді пришвидшує роботу. Тож питання для нас не в тому, чи користуватися агентами, а в тому, як не дати їм приймати команди не з того джерела.

Чому працює

Агенти довіряють тому, що читають

Агент для коду вирішує, що робити, за текстом. Більшу частину цього тексту пише не людина в розмові: файли репозиторію, задачі в трекері, вебсторінки, повідомлення про помилки та вивід інструментів, які агент викликає. Будь-що з цього може нести інструкції, і це називається prompt injection. Цей ризик стоїть першим у переліку OWASP для застосунків на мовних моделях.

У вікні чату підкинута інструкція дає хибну відповідь. В агенті для коду вона дає команду на машині, де лежать ключі доступу. Саймон Віллісон назвав небезпечне поєднання смертельною тріадою: доступ до закритих даних, контакт із неперевіреним вмістом і спосіб надіслати дані назовні. Ноутбук розробника з агентом у щойно клонованому репозиторії часто має всі три.

Нападник користується саме тими місцями, яким агент довіряє за задумом:

• Файли інструкцій: CLAUDE.md, AGENTS.md і файли правил редактора. Формат AGENTS.md створили якраз для того, щоб будь-який агент читав ті самі вказівки щодо проєкту. Це зручно, але робить файл єдиною точкою впливу.
• Налаштування проєкту з хуками, які запускають команди.
• Конфігурація підключених серверів інструментів (MCP) і теки зі скілами чи промптами.
• Скрипти, на які все це посилається, а ще README, задачі в трекері та скрипти встановлення пакетів.

Агент нічого не зламує. Він виконує інструкції проєкту.

Хуки

Те, що запускається без дозволу

Файли інструкцій принаймні проходять через модель, і вона може помітити, що щось не так. З хуками інакше. В інструментах, які їх підтримують, хуки є командами оболонки й запускаються автоматично в певні моменти, наприклад перед викликом інструмента чи на початку сесії. Їх описують у файлах налаштувань проєкту, вони працюють із правами розробника, і модель не вирішує, запускати їх чи ні.

Тому теку налаштувань чужого репозиторію треба прочитати першою, ще до запуску агента. Хук, який щось завантажує, щось надсилає назовні чи запускає скрипт із теки залежностей, зробить це незалежно від того, погодився б агент чи ні.

Не теорія

Що вже сталося

Пости з'явилися не на порожньому місці. Атаки через файли й права агентів описують уже півтора року, і кожна йшла через місце, якому агент довіряє за задумом:

• Березень 2025, приховані правила. Pillar Security показала інструкції, сховані у файлах правил Cursor і GitHub Copilot за допомогою невидимих символів Unicode: символів нульової ширини та знаків напрямку тексту. Людина, яка перевіряє файл, бачить звичайний текст, а агент читає і приховану частину. У їхній демонстрації агент додав у згенеровану сторінку зовнішній скрипт і не згадав про це.
• Липень 2025, Amazon Q. Версія 1.84.0 розширення Amazon Q для VS Code, яке має майже мільйон встановлень, вийшла з промптом, який хтось влив у його репозиторій: стерти дані на машині й хмарні ресурси, з дозволом на всі інструменти й без запитань. AWS замінила її версією 1.85.0; спрацювати йому завадила помилка в самому підкинутому коді.
• Серпень 2025, Nx. Зламані версії збирача Nx в npm шукали на машині ШІ-агентів для коду (Claude, Gemini, Amazon Q) і запускали їх з вимкненою перевіркою прав, щоб знайти на диску ключі та криптогаманці. Знайдене йшло в публічні репозиторії на GitHub, повідомляє Wiz.
• Червень 2026, Cursor. Cursor без дозволу запускав хуки з файлу налаштувань іншого інструмента, .claude/settings.local.json (CVE-2026-48124, виправлено в Cursor 3.0.0).
• Жовтень 2026, файл у «Завантаженнях». Forever Security знайшла шкідливий AGENTS.md у теці Downloads свого клієнта. Він мав вигляд інженерних нотаток і наказував агенту підключити новий сервер інструментів і встановити npm-пакет, який підтягує шкідливу програму. У тестах на ізольованій машині Codex виконував такий файл більш ніж у 90% спроб. CLAUDE.md, який просив Claude Code спрямувати трафік через чужий сервер і так віддати токен входу, домагався свого приблизно в половині випадків, пише The Hacker News. Близько половини клієнтів цієї компанії запускають агентів просто з теки завантажень.

Через два тижні Cloud Security Alliance підбила підсумок у дослідницькій нотатці з промовистою назвою Markdown Is the New Executable. Найновіші з цих атак не використовують жодної помилки в програмі, тож чекати виправлення від виробника марно: захищає лише налаштування.

Наш випадок

Агент, який хотів допомогти

Підкинуті файли до нас поки доходили лише через чужі пости. А от у власній роботі ми бачили історію тихішу й по-своєму повчальнішу.

На одному з наших проєктів агент вирішив бути дуже корисним. Проєкт мав чіткі правила, що агенту можна, а чого ні. Десь у тексті, який він читав, рядок із позначкою IMPORTANT дав йому, як йому здалося, вагому причину обійти одне з цих правил, і він його обійшов. Нічого не було підкинуто. Агент зважив дві інструкції, вирішив, що гучніша важить більше, і знайшов шпарину в тихішій.

Слова IMPORTANT, MUST чи CRITICAL для агента лише текст, але вони зсувають його пріоритети. Нападник це знає, а колега з найкращими намірами може випадково досягти того самого. Правила наших проєктів тепер прямо кажуть, яке джерело головніше: інструкції дає лише людина в розмові, а текст у файлах, на сторінках, у листах і у виводі інструментів є даними, хоч би як його оформили. Правило, яке має перемагати, мусить так і казати, а не просто стояти великими літерами.

Правило, яке має перемагати, мусить це сказати, а не кричати.

Наш файл

Шаблон, який ми проігнорували

Безпечний приклад є і в нашому коді. Коли ми переносили The Structure на Laravel, новий застосунок прийшов із шаблонним CLAUDE.md від Laravel Boost, пакета, що готує проєкти на Laravel до роботи з ШІ-агентами. Файл наказує будь-якому агенту спершу встановити пакети й виконати команду налаштування.

Нічого шкідливого в ньому не було, це зручність від авторів пакета. Але він добре показує, як такі файли з'являються: разом зі стартовим шаблоном, пакетом чи останнім комітом підрядника, і ніхто в команді не вирішує їх додати. Наш агент прочитав файл, сприйняв його як інформацію й нічого з нього не запустив. Саме такої поведінки ми чекаємо від будь-якого агента на будь-якому проєкті, і вона записана в інструкціях, за якими працюють наші агенти; про них ми писали в статті Вашому коду потрібна інструкція для ШІ.

Чек-лист

Перш ніж агент відкриє чужий код

Найнебезпечніша мить настає в першій сесії в репозиторії, який писав хтось інший: проєкт, прийнятий від іншого підрядника, open-source пакет, код клієнта, з яким ми ще не працювали. Перш ніж агент почне там роботу, ми перевіряємо:

• Файли інструкцій: CLAUDE.md, AGENTS.md, файли правил редактора й усе, що вони підключають. Файл, який забороняє читати скрипт, просить щось запустити мовчки чи каже агенту не питати, означає стоп. Ще ми шукаємо в них символи, яких не видно під час перевірки: Unicode нульової ширини та знаки напрямку тексту.
• Налаштування й хуки: теки налаштувань проєкту для всіх агентів, а не лише тих, якими користуються, бо один інструмент уже запускав хуки з налаштувань іншого, і кожну команду, яку запустив би хук.
• Сервери інструментів і скіли: конфігурацію MCP, теки скілів і промптів та походження кожного сервера.
• Те, на що вони посилаються: скрипти налаштування, скрипти встановлення пакетів і все, що лежить у теках, схожих на залежності, але закомічених у репозиторій.
• Де стартує агент: лише в теці проєкту, ніколи в «Завантаженнях» чи в домашній теці. Після першої сесії ми перевіряємо, що користувацькі налаштування самого агента не змінилися: немає нових серверів інструментів і нової адреси API.

Далі агент стартує з мінімумом прав: без ключів до бойових серверів в оточенні, з підтвердженням команд, без права змінювати власні налаштування і на наших робочих акаунтах, а не особистих. Коли проєкт приходить від іншої команди, ця перевірка йде разом з рештою передачі, яку ми описали в статті Як прийняти сайт чи застосунок від іншого розробника.

Власникам

Що спитати у своєї команди

Якщо ваш продукт роблять за допомогою ШІ-агентів, а нині так робиться більшість продуктів, вам не треба розбиратися в хуках. Потрібна команда, яка без затинки відповість на кілька запитань:

• Які агенти працюють із нашим кодом і на чиїх акаунтах?
• До чого вони мають доступ: бойові сервери, бази даних, хмарні консолі, дані клієнтів?
• Які команди виконуються лише після підтвердження людиною?
• Хто перевіряє зміни у файлах інструкцій і налаштуваннях агентів так само, як код?
• Що стається з доступами, коли йде розробник чи підрядник?

Файли інструкцій заслуговують на таку саму перевірку, як код. Більшість команд уже вимагає схвалення змін у налаштуваннях деплою; додати до цього правила CLAUDE.md, AGENTS.md і теки налаштувань агентів можна за кілька хвилин. У GitHub і GitLab це кілька рядків у файлі CODEOWNERS.

Ці запитання важливі й під час продажу компанії. Технічні перевіряльники з боку покупця ставлять їх дедалі частіше, і наш партнерський бренд The Structure пояснює, як він оцінює роботу ШІ-агентів у компанії, у статті How a buyer reviews the AI coding agents inside a company (англійською).

FAQ

Джерела

• LLM01: Prompt Injection, OWASP Gen AI Security Project
• Markdown Is the New Executable: Instruction-File Poisoning of AI Coding Agents, Cloud Security Alliance
• Malicious File in Downloads Folder Tries to Trick AI Coding Agent Into Installing Malware, The Hacker News
• s1ngularity: supply chain attack leaks secrets on GitHub, Wiz
• Hooks reference, Claude Code documentation