I ricercatori di Forever Security hanno trovato un file malevolo AGENTS.md nella cartella ~/Downloads di un cliente, dopo che un agente di coding IA aveva tentato di installare il pacchetto npm malevolo function-color, secondo un report del 25 ottobre di BleepingComputer.
La cartella Download era anche la directory di lavoro dell'agente, che quindi poteva caricare le istruzioni dell'attaccante come parte del proprio contesto operativo. I ricercatori non sono riusciti a stabilire come il file sia arrivato sul computer del cliente. L'evento segnalato riguardava un tentativo di installazione di un pacchetto; test successivi dei ricercatori hanno invece dimostrato esecuzione di codice e furto di credenziali in condizioni diverse.
Le istruzioni diventano una via d'accesso agli strumenti
File come AGENTS.md forniscono agli agenti di coding IA indicazioni specifiche per il progetto, tra cui convenzioni di codifica, strumenti e procedure di test. Gli agenti leggono automaticamente i file di istruzioni applicabili e li usano per guidare il proprio lavoro.
Si tratta di file di testo semplice, ma il loro contenuto può indurre un agente a eseguire comandi, installare software o modificare impostazioni, usando gli strumenti e i permessi di cui dispone. In questo caso, collocare indicazioni malevole nella directory da cui l'agente era partito ha dato a quelle indicazioni la possibilità di orientarne le azioni.
Forever Security ha descritto il rischio come una conseguenza di un comportamento previsto, e non come un difetto del software che richiede una patch del fornitore. È questa la valutazione dei ricercatori: un agente che segue un file di istruzioni locale sta svolgendo la funzione per cui è stato progettato.
I download dal browser offrono un possibile percorso di consegna
Sebbene l'arrivo del file originale resti inspiegato, i ricercatori hanno realizzato una proof of concept che mostra come una pagina web possa scaricare un file AGENTS.md nella cartella Download senza chiedere dove salvarlo.
BleepingComputer ha verificato che la pagina dimostrativa scaricava un file innocuo contenente le stringhe «sensitive data here» e «line 2». Questo dimostrava un possibile meccanismo di consegna, non la modalità con cui il file malevolo del cliente è effettivamente arrivato.
Chrome, Edge e Firefox di solito salvano i download in ~/Downloads senza chiedere all'utente di scegliere una posizione per ogni file. Mostrano inoltre per impostazione predefinita le notifiche di download. BleepingComputer ha detto che, nei suoi test con browser tra cui Brave, veniva richiesta un'approvazione, il che costituiva un ulteriore avviso visibile.
Perché questo percorso d'attacco funzioni, il bersaglio dovrebbe poi avviare un agente IA nella stessa cartella, in modo che possa leggere le istruzioni inserite. Gal Weizman, ricercatore di Forever Security, ha affermato che le statistiche interne mostravano centinaia di clienti che eseguivano agenti dalla cartella Download, con Claude Code da solo responsabile di oltre 1.300 sessioni. Il report non specifica il periodo di misurazione.
I test hanno dimostrato esecuzione ed esposizione dei token
Forever Security ha ricostruito l'attacco contro OpenAI Codex usando un payload innocuo che apriva l'applicazione Calcolatrice. I ricercatori hanno riportato un tasso di successo del 90%.
In un esperimento separato con Claude Code, un file malevolo CLAUDE.md reindirizzava il traffico API verso un server controllato dai ricercatori. Secondo loro, questo esponeva il token OAuth dell'agente e permetteva al loro server di impersonare il modello, restituendo chiamate a tool che eseguivano codice in circa il 50% dei test. Queste percentuali si riferiscono a esperimenti diversi, non a un confronto diretto tra i prodotti.
La precauzione pratica è tenere i download non attendibili al di fuori del contesto di lavoro di un agente. Il report afferma che OpenAI e Anthropic raccomandano di avviare gli agenti di coding dalla radice del progetto specifico su cui devono lavorare e di mantenere ristretto l'ambito di lavoro.
Gli utenti dovrebbero inoltre controllare i file AGENTS.md, CLAUDE.md e simili che non riconoscono, mantenere attive le richieste di approvazione e le protezioni della sandbox, e usare un ambiente isolato quando eseguono codice potenzialmente non attendibile.
