Исследователь под ником kestrel-9 опубликовал на Hacker News разбор критической уязвимости, затрагивающей практически всех популярных AI-агентов: Claude Code, Cursor, Cline, Aider и GitHub Copilot Workspace. Суть атаки заключается в использовании файлов «контекстных инструкций» (вроде .cursorrules или CLAUDE.md) для финансового и технического манипулирования сессией разработчика.

Механика атаки HERMES.md

Схема работает пугающе просто. Злоумышленник внедряет в репозиторий файл HERMES.md и упоминает его в тексте коммита. Как только разработчик делает git pull и запускает AI-агента, происходит следующее:

1. Автоматическое чтение: Агенты в погоне за «бесшовным контекстом» сканируют дерево файлов на предмет известных имен (.cursorrules, CLAUDE.md, AGENTS.md).
2. Инъекция инструкций: Файл содержит скрытые системные промпты, которые агент воспринимает как приоритетные указания от владельца проекта.
3. Экономический удар: В продемонстрированном кейсе агент скрытно переключал текущую сессию на «премиальный тир» использования API, стоимость которого в 3–7 раз выше базовой ставки за токен.

Почему это важно для вайбкодеров

Мы привыкли доверять файлам конфигурации в опенсорс-проектах, но для AI-агентов эти файлы — это прямой доступ к «мозгу» (системному промпту). Если вы форкнули старый репозиторий или приняли сомнительный Pull Request, вы фактически даете автору этого кода право писать инструкции вашему агенту.

Проблема в том, что разработчики инструментов (Cursor, Anthropic и др.) добавили поддержку таких файлов для удобства, но забыли про границы доверия (trust boundaries). Любой «прохожий» в интернете через Markdown-файл может заставить вашего агента:

• Сливать секреты (env-файлы) на внешний эндпоинт.
• Использовать самые дорогие модели без вашего ведома.
• Вносить скрытые бэкдоры в генерируемый код.

Что делать прямо сейчас

Пока вендоры не ввели обязательное подтверждение для активации новых инструкций из файлов, эксперты рекомендуют:

• Проверять изменения в .md и конфигурационных файлах так же тщательно, как и исполняемый код.
• Ограничивать бюджеты на API на стороне провайдеров (OpenRouter, Anthropic Console), чтобы избежать внезапных счетов на тысячи долларов.
• Быть осторожными с git pull в проектах, где вы активно используете агентов в режиме автопилота.