{"schema_version":"1.0","service":"Publicasta","type":"article","id":976,"slug":"agents_md_downloads_folder_coding_agent_trust_boundary","title":"Eine schädliche AGENTS.md-Datei macht den Downloads-Ordner zur Vertrauensgrenze für Coding-Agents","excerpt":"Eine Sicherheitsuntersuchung zeigt, wie sich ein Browser-Download und das Anweisungssystem eines KI-Coding-Agents zu einem praktischen Angriffsweg verbinden können. Die wichtigste Gegenmaßnahme: Agents aus Ordnern fernhalten, deren Inhalte nicht bewusst geprüft wurden.","language":"de","default_language":"en","canonical_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=de","image":{"url":"https://publicasta.com/storage/projects/17/pages/976/2026/10/744f0b7e-640c-44e8-b1d9-1431f07971f2.webp","alt":"Laptop mit einer in den Downloads-Ordner geladenen AGENTS.md-Datei neben einer Programmierumgebung, die eine Vertrauensgrenze für einen KI-Coding-Agenten veranschaulicht."},"publisher":{"id":17,"slug":"it_today_news","name":"IT Today","url":"https://publicasta.com/it_today_news"},"author":{"name":"Anton R"},"published_at":"2026-10-26T13:38:00+00:00","updated_at":"2026-10-26T13:38:00+00:00","content_markdown":"Eine einfache Textdatei im Downloads-Ordner eines Entwicklers genügte, damit ein KI-Coding-Agent versuchte, ein bekanntes bösartiges npm-Paket zu installieren. Der Vorfall, den Forever Security am 22. Oktober offenlegte und über den am 25. und 26. Oktober breiter berichtet wurde, ist eine wichtige Warnung für Teams, die Coding-Agents inzwischen wie gewöhnliche Entwicklerwerkzeuge behandeln.\n\n ![Laptop mit einer in den Downloads-Ordner geladenen AGENTS.md-Datei neben einer Programmierumgebung, die eine Vertrauensgrenze für einen KI-Coding-Agenten veranschaulicht.](https://publicasta.com/storage/projects/17/pages/976/2026/10/744f0b7e-640c-44e8-b1d9-1431f07971f2.webp)\n\n Entscheidend ist nicht, dass ein Angreifer ein neues npm-Paket gefunden hätte. Die Installationsanfrage ging von einer Anweisungsdatei aus – nicht von einer Repository-Abhängigkeit, einem Pull Request oder einer ausdrücklich formulierten Aufgabe des Entwicklers. Die Datei trug den Namen `AGENTS.md`, ein Format, das Codex gezielt erkennt und in seinen Arbeitskontext einfügt. Laut Forever wurde die Datei im Verzeichnis `~/Downloads` eines Kunden gefunden. Die Sicherheitssoftware des Unternehmens stoppte den versuchten Installationsvorgang des schädlichen Pakets `function-color`, bevor die Nutzlast auf dem Rechner des Kunden ausgeführt wurde.\n\n Damit ist nicht geklärt, wie die Datei dorthin gelangte. Forever erklärt, den ursprünglichen Verbreitungsweg nicht ermitteln zu können. In einer separaten Demonstration zeigte das Unternehmen, dass eine Webseite eine Datei mit diesem Namen im standardmäßigen Download-Ordner eines Browsers speichern kann. BleepingComputer reproduzierte das harmlose Download-Verhalten. Diese Unterscheidung ist wichtig: Der Vorfall beim Kunden und die Reproduktion stützen die Risikobewertung, beweisen aber nicht, dass die Datei des Kunden mit derselben Browsertechnik zugestellt wurde.\n\n ## Die Erkenntnis in einem Satz\n\n Der Downloads-Ordner gilt normalerweise als vorübergehender Ablageort für nicht vertrauenswürdige Dateien. Ein KI-Coding-Agent kann denselben Ordner jedoch als Quelle von Anweisungen behandeln. Treffen diese beiden Annahmen aufeinander, kann ein Dokument, das für das Betriebssystem zunächst wirkungslos ist, zum Eingang für privilegierte Automatisierung werden.\n\n Die eigene Codex-Dokumentation von OpenAI erklärt, warum `AGENTS.md` relevant ist. Die Codex CLI sucht automatisch vom globalen Codex-Verzeichnis über den Repository-Pfad bis zum aktuellen Arbeitsverzeichnis nach diesen Dateien und fügt ihre Inhalte anschließend in die Unterhaltung des Modells ein. Der Mechanismus soll Projektkonventionen, Testbefehle, Architekturhinweise und andere lokale Vorgaben in eine Agent-Sitzung übertragen. In einem Repository, das ein Team kontrolliert, ist das nützlich. In einem Ordner, dessen Inhalte durch Downloads verändert werden können, entsteht daraus ein Problem der Herkunft und Vertrauenswürdigkeit.\n\n Die Sicherheitsgrenze verläuft daher nicht nur beim Modell, bei der Shell oder bei der Paketregistrierung. Sie liegt auch bei dem Verzeichnis, aus dem der Agent Anweisungen lädt.\n\n ## Was Forever beobachtete\n\n Der Bericht von Forever beschreibt eine echte Kundenwarnung: Ein Agent versuchte, `function-color` zu installieren, ein Paket, das Sicherheitsdatenbanken als bösartig einstufen. Die Forscher führten die Anweisung auf eine `AGENTS.md`-Datei im Downloads-Ordner des Kunden zurück. Laut Bericht war die Datei im Stil gewöhnlicher technischer Anleitungen verfasst und enthielt Einrichtungsschritte, die den Agenten dazu brachten, seine eigene Konfiguration zu verändern und Paketinstallationen zu starten.\n\n Anschließend testete Forever die wiederhergestellte Datei in einer isolierten virtuellen Maschine. Dem Bericht zufolge befolgte Codex die Angriffskette in mehr als 90 Prozent der Versuche. Die Forscher entwickelten außerdem einen ähnlichen Test für Claude Code, bei dem eine `CLAUDE.md`-Datei zum Einsatz kam. Diese Variante versuchte, den Modellverkehr des Werkzeugs über einen vom Angreifer kontrollierten Endpunkt umzuleiten und das Authentifizierungstoken des Werkzeugs offenzulegen. Forever berichtet für diese Demonstration von einer geringeren Erfolgsquote, etwa der Hälfte der Durchläufe.\n\n Diese Prozentsätze sind als Testergebnisse zu verstehen, nicht als Wahrscheinlichkeit dafür, dass ein beliebiger Nutzer kompromittiert wird. Die Tests verwendeten gezielt konstruierte Dokumente, kontrollierte Umgebungen und bekannte Ausführungspfade. Sie zeigen, dass der Mechanismus für Anweisungsdateien unter den richtigen Bedingungen missbraucht werden kann. Sie messen nicht, wie häufig dieser Angriff in der allgemeinen Entwicklerpopulation vorkommt.\n\n Das Paket selbst ist nicht bloß verdächtig. Die Open Source Vulnerability-Datenbank führt bösartige Versionen von `function-color`, darunter die Versionen `1.0.0` und `1.7.3`, und empfiehlt, ein System, auf dem das Paket installiert oder ausgeführt wurde, als kompromittiert zu behandeln. npm hat das Paket inzwischen durch eine Sicherheits-Holding-Version ersetzt. Für Verteidiger ist es damit ein nützlicher Indikator, doch die umfassendere Lehre hängt nicht von diesem konkreten Namen ab. Eine andere Anweisungsdatei könnte einen Agenten zu einem anderen Paket, einer Zugangsschlüsseldatei, einem internen Endpunkt oder einer Änderung an der Konfiguration führen.\n\n ## Warum der Downloads-Ordner etwas anderes ist als ein Repository\n\n Bei einem Quell-Repository gibt es normalerweise eine nachvollziehbare Besitz- und Verantwortungsstruktur. Es kann durch Branch-Regeln, geprüfte Änderungen, signierte Commits, Zugriffsprotokolle und einen bekannten Klonvorgang geschützt sein. Keine dieser Kontrollen gilt automatisch für den Downloads-Ordner eines Nutzers.\n\n Browser speichern heruntergeladene Dateien standardmäßig häufig dort. BleepingComputer testete Forevers Proof of Concept und berichtete, dass Chrome, Edge und Firefox eine harmlose `AGENTS.md`-Datei in den Downloads-Ordner herunterluden und dabei weiterhin ihre normalen Download-Benachrichtigungen anzeigten. Der Test führte keinen Code aus und umging auch nicht die üblichen Browser-Warnungen. Genau deshalb ist das Beispiel wichtig: Die Datei muss keine ausführbare Datei sein, um später einen Agenten zu beeinflussen.\n\n Der Angriff setzt jedoch eine zweite Bedingung voraus. Der Nutzer, ein Automatisierungsjob oder ein anderer Agent muss einen Coding-Agenten in diesem Verzeichnis starten oder das Verzeichnis anderweitig in den Suchpfad des Agenten für Anweisungen aufnehmen. Ein Download ist nicht dasselbe wie eine Ausführung. Eine bösartige Markdown-Datei im Downloads-Ordner ist erst dann gefährlich, wenn ein Tool, das lokalen Anweisungen vertraut, sie einliest und über genügend Berechtigungen verfügt, um danach zu handeln.\n\n Diese Voraussetzung macht die richtige Kontrolle deutlich. Teams müssen weder Browser-Downloads verbieten noch `AGENTS.md` abschaffen. Sie müssen aufhören, jedes Arbeitsverzeichnis als gleichermaßen vertrauenswürdig zu behandeln.\n\n ## Der Unterschied zwischen Inhalt und Autorität\n\n Die Dateiendung ist nicht das Kernproblem. Markdown ist normalerweise passiver Inhalt. In einer herkömmlichen Anwendung sollte das Öffnen einer Markdown-Datei weder Software installieren noch eine Konfigurationsdatei umschreiben. In einem Agenten-Workflow werden die Inhalte jedoch vom Harness in Verhaltensanweisungen umgewandelt.\n\n Das führt bei der Einführung leicht zu einer falschen Einordnung. Ein Entwickler könnte denken: „Der Agent kann Dokumentation lesen, aber für gefährliche Aktionen braucht er trotzdem meine Zustimmung.“ In der Praxis kann ein Agent das Dokument mit seinen eigenen Tools, Berechtigungen, gemerkten Konventionen und verfügbaren Integrationen kombinieren. Wenn das Dokument den Agenten davon überzeugt, dass eine Konfigurationsänderung zur normalen Projekte Einrichtung gehört, kann die daraus folgende Aktion eine Grenze überschreiten, für die der Nutzer niemals eine Autorisierung beabsichtigt hat.\n\n Das sicherere Denkmodell besteht darin, für Agenten lesbare Anweisungsdateien als Konfiguration mit ausführbaren Folgen zu behandeln. Sie sind möglicherweise nicht im Betriebssystem-Sinn ausführbar, beeinflussen aber, was der Agent liest, schreibt, aufruft und für vertrauenswürdig hält. Damit stehen sie Shell-Profilen, CI-Workflow-Dateien, Editor-Einstellungen und Paketmanifesten näher als einer gewöhnlichen README-Datei.\n\n Das bedeutet nicht, dass jede Anweisungsdatei feindselig ist. Es bedeutet, dass ihre Herkunft eindeutig sein sollte. Eine Datei sollte als vertrauenswürdig gelten, weil ein bekannter Eigentümer sie in einem bekannten Repository erstellt oder geprüft hat – nicht weil ihre Formulierungen professionell klingen oder weil sie auf `.md` endet.\n\n ## Was bestätigt ist und was unklar bleibt\n\n Mehrere Fakten werden durch den Primärbericht und unabhängige Berichterstattung gestützt:\n\n - Forever fand bei der Untersuchung eines versuchten Installationsvorgangs von `function-color` eine `AGENTS.md`-Datei im Downloads-Verzeichnis eines Kunden.\n- Forever reproduzierte die wiederhergestellte Technik in einer isolierten Umgebung gegen Codex und berichtete über eine erfolgreiche Ausführung in mehr als 90 % der Versuche.\n- Forever demonstrierte eine verwandte Technik zur Umleitung von Konfigurationen gegen Claude Code.\n- Das Paket `function-color` wurde von OSV als bösartig erfasst; betroffen sind Versionen aus der 1.x-Reihe.\n- BleepingComputer testete eine harmlose Demonstration eines Browser-Downloads und bestätigte, dass gängige Browser eine Datei mit dem relevanten Namen unter normalem Download-Verhalten im Downloads-Ordner speichern können.\n- OpenAI dokumentiert, dass Codex `AGENTS.md`-Anweisungen abhängig vom Speicherort des Verzeichnisses entdeckt und in eine Sitzung einfügt.\n\n Andere Aussagen sollten enger gefasst werden:\n\n - Die Forscher konnten nicht feststellen, wie die ursprüngliche Datei des Kunden auf das Gerät gelangte.\n- Dass ein Browser die Datei speichern kann, belegt nicht, dass der Browser den Vorfall beim Kunden verursacht hat.\n- Das Starten eines Agenten im Downloads-Ordner ist für den demonstrierten Angriffspfad erforderlich, reicht allein aber nicht aus: Die Datei muss überzeugende Anweisungen enthalten, der Agent muss über die entsprechenden Fähigkeiten verfügen, und der Nutzer oder die Automatisierung muss die daraus folgenden Aktionen zulassen.\n- Die gemeldeten Erfolgsraten stammen aus kontrollierten Tests und sollten nicht als Wahrscheinlichkeiten für die Gesamtbevölkerung verstanden werden.\n\n Diese Trennung ist für die Reaktion auf Sicherheitsvorfälle wichtig. Sie verhindert, dass Teams auf eine nicht belegte Aussage zur Bereitstellung überreagieren, während sie den nachgewiesenen Vertrauensbruch dennoch beheben.\n\n ## Praktische Kontrollen für Entwicklerplattformen\n\n Die erste Maßnahme ist prozedural und kostengünstig: Coding-Agenten dürfen nicht im Downloads- oder Desktop-Ordner, in temporären Exportverzeichnissen, gemeinsamen Ordnern für Anhänge und anderen Verzeichnissen gestartet werden, deren Inhalte regelmäßig von Browsern oder externen Anwendungen angelegt werden. Entwickler sollten einen Projektarbeitsbereich mit eindeutigem Verantwortlichen und einer klaren, vorhersehbaren Richtlinie für Instruktionsdateien erhalten.\n\n Die zweite Maßnahme ist eine Prüfung beim Start. Agent-Wrapper können vor Beginn einer Sitzung das aktuelle Arbeitsverzeichnis und dessen übergeordnete Verzeichnisse untersuchen. Befindet sich der Pfad an einem bekannten nicht vertrauenswürdigen Ort, kann der Wrapper den Start abbrechen, eine ausdrückliche Ausnahme verlangen oder den Agenten mit Nur-Lese-Rechten starten. Die Prüfung sollte sichtbar und auditierbar sein, statt in einem Richtliniendokument verborgen zu bleiben.\n\n Die dritte Maßnahme betrifft die Herkunft von Dateien. Teams für Endgeräte und Entwicklerplattformen sollten neu erstellte `AGENTS.md`, `CLAUDE.md` und ähnliche Instruktionsdateien in benutzerschreibbaren Ordnern überwachen. Wenn ein Browser eine Datei mit einem dieser Namen erstellt, verdient das mehr Aufmerksamkeit als das Speichern einer gewöhnlichen PDF-Datei. Das Ereignis ist kein Beweis für eine Kompromittierung, aber ein nützliches Erkennungssignal.\n\n Die vierte Maßnahme ist die Integrität der Konfiguration. Die Untersuchung zeigt, warum Verteidiger nicht nur den Projektbaum, sondern auch die Konfiguration des Agenten selbst überwachen sollten. Unerwartete Modell-Endpunkte, Proxy-Einstellungen, Registrierungen von MCP-Servern, neue Tool-Definitionen oder Änderungen an Berechtigungsmodi sollten als Sicherheitsereignisse geprüft werden. Eine Konfigurationsänderung, die über mehrere Projekte hinweg bestehen bleibt, ist gravierender als eine einmalige Instruktion in einem einzelnen Repository.\n\n Die fünfte Maßnahme ist die Trennung von Zugangsdaten. Coding-Agenten sollten nur die für ihre Aufgabe erforderlichen Berechtigungen erhalten, möglichst kurzlebige Zugangsdaten, die auf ein Repository oder eine Umgebung beschränkt sind. Ein lokaler Agent, der Cloud-Zugangsdaten lesen, Pakete veröffentlichen, auf Produktionssysteme zugreifen und seine eigene Tool-Konfiguration ändern kann, hat einen sehr großen Wirkungsbereich, selbst wenn die anfängliche Täuschung simpel ist.\n\n Die sechste Maßnahme besteht darin, Freigabe- und Sandbox-Mechanismen aktiviert zu lassen. Ein Dokument, das einen Agenten anweist, Freigaben zu umgehen, eine Sandbox zu deaktivieren, ein unbekanntes Paket zu installieren oder einen neuen Tool-Server zu „validieren“, sollte als feindselig behandelt werden, bis ein Mensch die Anweisung über einen unabhängigen Kanal überprüft hat. Je stärker eine Datei darauf besteht, dass eine Sicherheitskontrolle für eine routinemäßige Einrichtung erforderlich sei, desto sorgfältiger sollte die Aufforderung geprüft werden.\n\n ## Checkliste für den Umgang mit einer verdächtigen Instruktionsdatei\n\n Wenn ein Entwickler eine unerwartete `AGENTS.md`, `CLAUDE.md` oder vergleichbare Datei im Downloads-Ordner oder einem anderen nicht vertrauenswürdigen Verzeichnis findet, sollte er als Erstes die betroffene Agentensitzung nicht weiterverwenden. Beauftragen Sie nicht denselben Agenten damit, festzustellen, ob die Datei bösartig ist; die Datei könnte das Verhalten des Agenten bereits beeinflussen.\n\n Bewahren Sie die Datei und die relevanten Zeitstempel für die Untersuchung auf, prüfen Sie sie aber aus einer separaten vertrauenswürdigen Umgebung. Dokumentieren Sie, welcher Agent lief, welches Arbeitsverzeichnis verwendet wurde, auf welche Dateien er zugreifen konnte, welche Befehle oder Tools er aufgerufen hat und welche Zugangsdaten ihm zur Verfügung standen. Prüfen Sie die globale und projektspezifische Konfiguration des Agenten auf neue Endpunkte, MCP-Registrierungen, Proxy-Einstellungen, Berechtigungsänderungen oder unbekannte Starteinträge.\n\n Durchsuchen Sie Paketmanifeste, Lockfiles, Caches von Paketmanagern, die Shell-Historie, Prozessprotokolle und Telemetriedaten der Endgeräte nach `function-color` und anderen Paketen, auf die die Datei verweist. Die OSV-Empfehlung für betroffene `function-color`-Versionen ist bewusst streng: Ein Host, auf dem das bösartige Paket installiert oder ausgeführt wurde, sollte als kompromittiert gelten und nicht lediglich durch das Löschen eines einzelnen Verzeichnisses bereinigt werden.\n\n Rotieren Sie Agenten- und Quellcodeverwaltungs-Zugangsdaten von einem sauberen Gerät aus. Dazu gehören Cloud-Zugriffsschlüssel, Tokens für Paketregistries, SSH-Schlüssel, API-Tokens und Sitzungst Zugangsdaten, die der Agent lesen oder übertragen konnte. Ungültig machen Sie dauerhafte Sitzungen, sofern der Anbieter dies unterstützt. Prüfen Sie Aktivitäten in der Quellcodeverwaltung, Paketveröffentlichungen, Cloud-Anmeldungen und Konfigurationsänderungen während des Zeitraums der möglichen Offenlegung.\n\n Untersuchen Sie schließlich, wie der Agent gestartet wurde. Wurde das Arbeitsverzeichnis automatisch durch einen Editor, eine Desktop-Verknüpfung, einen Task-Runner oder einen browsergesteuerten Ablauf ausgewählt, muss diese Pfadauswahl korrigiert werden, damit dieselbe Bedingung nicht erneut entsteht. Es geht nicht nur darum, eine Datei zu entfernen, sondern darum, die unsichere Kombination aus Verzeichnis und Agent schwerer herstellbar zu machen.\n\n ## Was Anbieter ändern können, ohne den Arbeitsablauf zu beeinträchtigen\n\n Dem Bericht zufolge handelt es sich bei dem gezeigten Verhalten nicht um eine herkömmliche Produktlücke, die sich mit einem einzigen Patch beheben lässt. Das bedeutet jedoch nicht, dass Anbieter keine Rolle spielen. Agent-Clients können die Herkunft von Anweisungen sichtbar machen, anzeigen, welche Dateien aus welchen Verzeichnissen geladen wurden, warnen, wenn eine Datei aus einem Download-Ordner stammt, und zwischen an ein Repository gebundenen Vorgaben und benutzerschreibbaren Dateien in der Umgebung unterscheiden.\n\n Für Anweisungen, die Aktionen mit weitreichenden Folgen verlangen, könnte ein Client außerdem engere Standardregeln anwenden. Das Schreiben einer dauerhaft gültigen globalen Konfiguration, das Ändern eines Model-Endpunkts, das Registrieren eines neuen Tool-Servers, die Installation eines Pakets oder das Deaktivieren einer Sandbox sollte eine deutlich stärkere Bestätigung erfordern als das Bearbeiten einer Quelldatei. Die Bestätigung sollte die Anweisungsdatei, ihren Pfad, die angeforderte Aktion und den Geltungsbereich der dauerhaften Änderung nennen.\n\n Entwicklerplattformen können signierte oder per Richtlinie genehmigte Anweisungsdateien für verwaltete Repositories bereitstellen. Unternehmens-Wrapper können Listen zulässiger Stammverzeichnisse verwalten, projektbezogene Zugangsdaten erzwingen und Telemetriedaten zu geladenen Anweisungen und Tool-Aufrufen erfassen. Paketmanager können die Erkennung schädlicher Pakete weiter verbessern. Eine Prüfung der Registries allein kann jedoch kein Problem lösen, bei dem ein Agent zunächst dazu gebracht wird, ein Paket abzurufen.\n\n Die Herausforderung beim Design besteht darin, den nützlichen Teil lokaler Anweisungen zu erhalten, ohne zuzulassen, dass ein heruntergeladenes Dokument stillschweigend zu einer administrativen Richtlinie wird. Sichtbarkeit und klar begrenzte Berechtigungen sind dauerhaft wirksamere Kontrollen, als einem Modell beibringen zu wollen, jeden möglichen bösartigen Absatz zu erkennen.\n\n ## Die übergreifende Lehre für KI-gestützte Entwicklung\n\n Der Vorfall lässt sich leicht als Prompt-Injection beschreiben, doch für Betriebsteams greift diese Bezeichnung zu kurz. Das praktische Risiko entsteht durch eine Kette: das Ablegen einer nicht vertrauenswürdigen Datei, die automatische Erkennung von Anweisungen, die Interpretation durch ein Modell, Tool-Zugriff, dauerhafte Konfigurationsänderungen und auf dem Host verfügbare Zugangsdaten. Jedes einzelne Glied kann bei isolierter Betrachtung unauffällig wirken.\n\n Diese Kette erklärt auch, warum vorhandene Endpoint-Kontrollen den Vorgang möglicherweise nicht erkennen. Es gibt womöglich keinen ausführbaren Anhang, kein offensichtliches Makro und keinen Angriff auf einen Browser oder ein Betriebssystem. Die schädliche Aktion entsteht, wenn ein vertrauenswürdiges Automatisierungswerkzeug Text interpretiert und das Ergebnis ausführt. Die Sicherheitsüberwachung muss deshalb Dateierstellung, Agent-Start, Konfigurationsänderungen, Paketinstallation und die Verwendung von Zugangsdaten über Prozessgrenzen hinweg miteinander verknüpfen.\n\n Der unmittelbare Rat ist eng gefasst: Halten Sie Coding-Agenten aus dem Downloads-Ordner fern und prüfen Sie Anweisungsdateien, bevor Sie ihnen vertrauen. Die architektonische Empfehlung reicht weiter: Behandeln Sie alles, was ein Agent liest, als potenziell nicht vertrauenswürdige Eingabe – auch Dateien, die wie Projektdokumentation aussehen. Begrenzen Sie anschließend, was der Agent tun darf, wenn diese Eingabe Änderungen außerhalb des Projekts verlangt, das er eigentlich bearbeiten soll.\n\n KI-Coding-Agenten werden zu einem Bestandteil der Entwicklerplattform. Ihre Arbeitsverzeichnisse, Anweisungshierarchien, Konfigurationsdateien und Zugangsdaten verdienen dieselbe Zuständigkeit und Überwachung wie CI-Runner und Build-Server. Der Fall mit dem Downloads-Ordner ist wertvoll, weil er diese Anforderung greifbar macht: Eine Datei musste sich nicht selbst ausführen. Sie musste lediglich von Software gelesen werden, die zum Handeln berechtigt war.","available_translations":[{"language":"ar","title":"ملف AGENTS.md خبيث يحوّل مجلد التنزيلات إلى حدّ ثقة لوكيل البرمجة","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=ar","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=ar","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=ar","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=ar"},{"language":"de","title":"Eine schädliche AGENTS.md-Datei macht den Downloads-Ordner zur Vertrauensgrenze für Coding-Agents","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=de","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=de","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=de","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=de"},{"language":"en","title":"A Malicious AGENTS.md File Turns the Downloads Folder into a Coding-Agent Trust Boundary","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=en","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=en","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=en","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=en"},{"language":"es","title":"Un archivo AGENTS.md malicioso convierte la carpeta de Descargas en un límite de confianza para los agentes de programación","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=es","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=es","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=es","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=es"},{"language":"fr","title":"Un fichier AGENTS.md malveillant transforme le dossier Téléchargements en frontière de confiance pour les agents de programmation","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=fr","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=fr","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=fr","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=fr"},{"language":"pl","title":"Złośliwy plik AGENTS.md zmienia folder Pobrane w granicę zaufania agenta kodującego","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=pl","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=pl","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=pl","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=pl"},{"language":"ru","title":"Вредоносный файл AGENTS.md превращает папку «Загрузки» в границу доверия для ИИ-агента программирования","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=ru","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=ru","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=ru","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=ru"},{"language":"zh","title":"恶意 AGENTS.md 文件将 Downloads 文件夹变成编码代理的信任边界","html_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=zh","markdown_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=zh","json_url":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=zh","api_url":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=zh"}],"_links":{"self":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=de","api":"https://publicasta.com/api/public/v1/channels/it_today_news/articles/agents_md_downloads_folder_coding_agent_trust_boundary?lang=de","html":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=de","canonical":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary?lang=de","markdown":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.md?lang=de","json":"https://publicasta.com/it_today_news/agents_md_downloads_folder_coding_agent_trust_boundary.json?lang=de","channel":"https://publicasta.com/api/public/v1/channels/it_today_news","channel_articles":"https://publicasta.com/api/public/v1/channels/it_today_news/articles","search":"https://publicasta.com/api/public/v1/search","documentation":"https://publicasta.com/api-docs#reading-publicasta","openapi":"https://publicasta.com/api-docs/openapi.json","llms":"https://publicasta.com/llms.txt"}}