Des chercheurs de Forever Security ont trouvé un fichier malveillant AGENTS.md dans le dossier ~/Downloads d'un client, après qu'un agent de codage IA a tenté d'installer le paquet npm frauduleux function-color, selon un rapport de BleepingComputer publié le 25 octobre.
Le dossier Downloads était aussi le répertoire de travail de l'agent, ce qui lui permettait de charger les instructions de l'attaquant dans son contexte de fonctionnement. Les chercheurs n'ont pas pu établir comment le fichier est arrivé sur l'ordinateur du client. L'événement signalé chez ce client concernait une tentative d'installation de paquet ; des tests ultérieurs des chercheurs ont démontré l'exécution de code et le vol d'identifiants, dans des conditions différentes.
Des instructions deviennent une voie d'accès aux outils
Des fichiers comme AGENTS.md fournissent aux agents de codage IA des consignes propres à un projet, notamment des conventions de codage, des outils et des procédures de test. Les agents lisent automatiquement les fichiers d'instructions applicables et s'en servent pour guider leur travail.
Ces fichiers sont en texte brut, mais leur contenu peut amener un agent à exécuter des commandes, à installer des logiciels ou à modifier des paramètres, à travers les outils et les autorisations dont il dispose. Dans ce cas, le dépôt de consignes malveillantes dans le répertoire où l'agent a démarré lui a donné la possibilité d'orienter ses actions.
Forever Security décrit ce risque comme la conséquence d'un comportement voulu, et non d'une faille logicielle nécessitant un correctif de l'éditeur. Telle est l'évaluation des chercheurs : un agent qui suit un fichier d'instructions local remplit la fonction pour laquelle il a été conçu.
Les téléchargements depuis le navigateur, une piste de diffusion possible
Bien que l'arrivée du fichier d'origine reste inexpliquée, les chercheurs ont construit une preuve de concept montrant qu'une page web peut télécharger un fichier AGENTS.md dans le dossier Downloads sans afficher de demande d'emplacement de sauvegarde.
BleepingComputer a vérifié que la page de démonstration téléchargeait un fichier inoffensif contenant les chaînes « sensitive data here » et « line 2 ». Cela illustre un mécanisme de diffusion possible, et non la manière dont le fichier malveillant du client est réellement arrivé.
Chrome, Edge et Firefox enregistrent généralement les téléchargements dans ~/Downloads sans demander à l'utilisateur de choisir un emplacement pour chaque fichier. Ils affichent également des notifications de téléchargement par défaut. BleepingComputer indique que ses tests avec des navigateurs dont Brave ont fait apparaître une demande d'approbation, ce qui constitue un avertissement visible supplémentaire.
Pour que cette voie d'attaque fonctionne, la cible devrait ensuite lancer un agent IA dans ce même dossier afin qu'il lise les instructions déposées. Gal Weizman, chercheur chez Forever Security, affirme que des statistiques internes montrent que des centaines de clients exécutent des agents depuis Downloads, Claude Code seul totalisant plus de 1 300 sessions depuis ce dossier. Le rapport ne précise pas la période de mesure.
Des tests démontrent l'exécution de code et l'exposition de jetons
Forever Security a reconstitué l'attaque contre OpenAI Codex à l'aide d'une charge utile inoffensive, qui ouvrait la calculatrice. Les chercheurs font état d'un taux de réussite de 90 %.
Dans une expérience distincte menée sur Claude Code, un fichier malveillant CLAUDE.md redirigeait le trafic API vers un serveur contrôlé par les chercheurs. Selon eux, cela exposait le jeton OAuth de l'agent et permettait à leur serveur de se faire passer pour le modèle, en renvoyant des appels d'outils qui exécutaient du code dans environ 50 % des tests. Ces pourcentages décrivent des expériences différentes et ne constituent pas une comparaison directe entre les produits.
La précaution pratique consiste à tenir les téléchargements non fiables à l'écart du contexte de travail d'un agent. Selon le rapport, OpenAI et Anthropic recommandent de lancer les agents de codage à la racine du projet précis sur lequel ils doivent travailler, et de limiter leur périmètre d'action.
Les utilisateurs doivent aussi examiner les fichiers inconnus AGENTS.md, CLAUDE.md et les fichiers similaires, conserver les demandes d'approbation et les protections du bac à sable, et utiliser un environnement isolé pour exécuter du code potentiellement non fiable.
