Der Angriff steckt in gewöhnlichen Projektdateien wie README, Requirements-Datei oder Makefile. Wer sie ändern kann, lenkt einen Agenten etwa auf eine fremde Paketquelle, eine bekannte verwundbare Version oder einen ähnlich benannten Paketnamen. Getestet wurden Claude Code, Codex CLI, Copilot CLI und Cursor mit sieben Modellen.
Die Ergebnisse hängen vom Paar aus Gerüst und Modell ab. Offensichtliche Tippfehler fingen die Agenten zuverlässig ab; plausible Trennzeichen-Fehler wie azurecore statt azure-core rutschten je nach Konfiguration durch. Quellenangriffe wurden fast überall übersehen, bei npm und Cargo installierten nahezu alle Modelle die nicht vertrauenswürdige Abhängigkeit. Verwundbare Versions-Pins erkannte keine der neun Konfigurationen.
Ein Halt vor der Ausführung gibt dem Modell mehr Zeit als ein Ablauf, der erst danach berichtet, löst das Problem aber nicht vollständig. Sicherheits-Prompts helfen nur bei der benannten Angriffsklasse. Ein deterministischer Prüf-Hook vor der Installation fing laut Papier zehn von elf gezielten Szenarien ab.