Forever Security piège Codex avec un AGENTS.md malveillant

Forever Security a découvert un fichier AGENTS.md malveillant dans le dossier Downloads d’un client. Le fichier a trompé un agent de programmation qui tentait d’installer le paquet npm « function-color ». L’enquête a relié cette tentative aux instructions contenues dans ce document Markdown. Les chercheurs ont reproduit l’attaque contre OpenAI Codex. Ils ont également démontré une technique associée contre Claude Code. Cette méthode a permis de divulguer des jetons OAuth et de détourner un compte avec les seules instructions malveillantes. L’analyse a été publiée le 25 octobre 2026. Elle montre qu’un fichier texte peut guider des actions lorsque l’agent le charge depuis son répertoire de travail.

Les fichiers d’instructions comme AGENTS.md décrivent les outils à utiliser, les tests à lancer et les conventions de programmation. Les agents chargent automatiquement les fichiers applicables depuis leur répertoire de travail. Un document malveillant peut donc demander l’exécution de commandes, l’installation de paquets ou la modification de réglages. Ces actions utilisent les outils et autorisations déjà accessibles à l’agent. Forever Security indique qu’un agent qui suit le fichier présent dans son dossier applique le comportement prévu par sa conception. Les chercheurs n’attribuent pas cette chaîne à une vulnérabilité logicielle précise d’OpenAI ou d’Anthropic. Leur démonstration porte sur l’interprétation automatique d’instructions présentes dans un emplacement accessible.

Le dossier Downloads reçoit des fichiers

Le téléchargement silencieux constitue la première étape possible de la chaîne décrite. Forever Security affirme qu’une page web peut déposer un fichier nommé AGENTS.md dans le dossier Downloads sans action supplémentaire. Les chercheurs ont créé une preuve de concept pour reproduire ce dépôt. Lors d’une vérification, la page a téléchargé un fichier contenant les chaînes « sensitive data here » et « line 2 ». Chrome, Edge et Firefox enregistrent généralement les fichiers téléchargés dans Downloads sans demander un emplacement à chaque fois. Ces navigateurs affichent toutefois des notifications de téléchargement par défaut. Brave a demandé une approbation dans les tests rapportés. Le fichier doit ensuite être lu par un agent lancé depuis ce même dossier.

Les usages courants expliquent cette seconde condition. Gal Weizman, chercheur chez Forever Security, indique que des utilisateurs lancent des agents pour organiser Downloads ou traiter un fichier récemment téléchargé. Les statistiques internes de l’entreprise recensent des centaines de clients exécutant Claude Code, OpenAI Codex ou Cursor CLI depuis ce dossier. Claude Code y a lancé plus de 1 300 sessions, selon Weizman. Les chercheurs ont obtenu un taux de réussite de 90 % contre Codex avec une charge utile inoffensive ouvrant simplement l’application Calculatrice. Ils ont aussi utilisé un fichier CLAUDE.md malveillant pour rediriger le trafic API de Claude Code vers un serveur contrôlé. Le jeton OAuth exposé permettait alors d’imiter le modèle.

Les tests révèlent deux voies d’attaque

La seconde démonstration a renvoyé des appels d’outils capables d’exécuter du code dans environ 50 % des tests. Les chercheurs ont ainsi relié la fuite du jeton OAuth à une possibilité d’usurpation et d’exécution. La chaîne combine le comportement attendu des navigateurs et celui des agents qui lisent les instructions de leur répertoire. Forever Security attribue donc la responsabilité des précautions et des défenses à l’utilisateur. OpenAI et Anthropic recommandent de lancer leurs agents depuis la racine du projet concerné. Cette organisation limite le contexte par défaut et réduit l’exposition à des fichiers non fiables situés dans d’autres dossiers. Les recommandations portent aussi sur les fichiers AGENTS.md, CLAUDE.md et documents similaires.

La mesure prioritaire consiste à éviter Downloads comme répertoire de travail pour un agent de programmation. OpenAI et Anthropic recommandent de privilégier le dossier racine du projet, plutôt que le répertoire personnel ou un dossier parent large. Le périmètre doit rester aussi étroit que possible, puis s’élargir seulement lorsque cela est nécessaire. Les utilisateurs doivent examiner les fichiers AGENTS.md et CLAUDE.md inconnus avant d’autoriser leur application. Les invites d’approbation et les protections de bac à sable doivent rester activées. Les codes potentiellement non fiables doivent être testés dans un environnement isolé avant toute exécution sur le système principal. La démonstration complète est disponible chez Forever Security, tandis que l’exemple de téléchargement est accessible ici. Le compte rendu de BleepingComputer détaille les essais contre Codex et Claude Code. Pour aller plus loin, consultez notre guide sur déployer un agent IA en PME sans développeur.