Agents de code : un AGENTS.md piégé dans Downloads

Ce qui se passe

Forever Security a publié le cas d'un client dont le dossier Downloads contenait un fichier AGENTS.md déguisé en notes d'ingénierie. Une section demandait à l'agent d'ajouter un serveur à sa propre configuration et d'installer le paquet npm function-color. Ce paquet appartient à une campagne que CloudSEK et Checkmarx ont nommée MALFEX : il tire function-flag, un téléchargeur qui récupère et lance une charge Windows.

Forever a arrêté l'agent avant l'exécution du moindre code. Elle n'a pas pu établir comment le fichier était arrivé dans le dossier.

Pourquoi ça marche

Deux comportements inoffensifs pris séparément :

un agent de code lit le fichier d'instructions du dossier où il démarre (AGENTS.md, CLAUDE.md) et le suit comme des consignes ;
une page web peut enregistrer un fichier dans Downloads sans clic ni demande de permission, avec le nom et le contenu de son choix.

Ensemble : une page dépose dans un dossier de confiance un fichier que l'agent traitera en ordres. Forever a monté sa propre page de démonstration pour montrer que le chemin complet est possible ; elle ne sait pas si l'attaquant réel l'a emprunté.

Ce qui a été mesuré

Selon Forever, l'attaque n'est pas propre à un produit :

Codex : le vrai fichier de l'attaquant, rejoué dans une machine virtuelle isolée, faisait inscrire un serveur dans ~/.codex/config.toml, appliqué à toutes les sessions suivantes, pas seulement dans Downloads. Le malware a été lancé dans plus de 90 % des essais.
Claude Code : un CLAUDE.md présenté comme une configuration de passerelle interne cherchait à écrire ANTHROPIC_BASE_URL dans un fichier de réglages du projet, pour envoyer le trafic API vers un serveur de Forever. Cela suffit à faire fuir le jeton de session et à faire répondre un faux modèle. L'écriture exige l'accord d'une personne, souvent refusé ; avec un habillage long en document d'ingénierie, elle a été acceptée environ une fois sur deux.

Forever estime qu'il n'y a rien à corriger chez OpenAI ou Anthropic : l'agent fait ce pour quoi il a été construit, comme un navigateur qui affiche une page d'hameçonnage. Tous les chiffres sont les siens, mesurés par elle.

D'après sa télémétrie, environ la moitié de ses clients lancent un agent de code dans Downloads, et environ un quart des sessions ouvrent un navigateur : l'agent peut alors naviguer seul, sans que personne ne voie le fichier arriver.

Comment s'y prendre

Ne lancez ni Codex, ni Claude Code, ni aucun agent dans ~/Downloads.
Relisez tout AGENTS.md ou CLAUDE.md que vous n'avez pas écrit, dans Downloads comme dans un dépôt tout juste cloné.
Contrôlez la configuration de l'agent : un bloc serveur ou une URL de base que vous n'avez pas ajoutés dans ~/.codex/config.toml, une variable ANTHROPIC_BASE_URL inconnue dans .claude/settings.json.
Laissez les demandes d'approbation et les bacs à sable actifs ; méfiez-vous de toute consigne qui propose de les couper.
Si un fichier planté est trouvé, tenez le jeton pour fuité et faites-le tourner.

Source : The Hacker News, 26 octobre 2026. Source en anglais. Rapport d'origine : Forever Security.