Am 25. Oktober 2026 berichtete BleepingComputer, dass Forever Security eine manipulierte AGENTS.md im Downloads-Ordner eines Kunden gefunden hatte. Ein dort gestarteter Coding-Agent versuchte daraufhin, das schädliche npm-Paket function-color zu installieren. Forever Security stoppte den Versuch, bevor Code ausgeführt wurde.
Wie die Datei den Agenten beeinflussen konnte
Entscheidend war, dass der Downloads-Ordner zugleich das Arbeitsverzeichnis des Agenten war. Die beschriebene Angriffskette setzt voraus, dass ein Agent die Anweisungen aus diesem Arbeitskontext lädt, etwa weil er in dem Ordner gestartet wird. Forever Security untersuchte auch, wie eine Webseite eine Datei namens AGENTS.md in Downloads platzieren könnte. BleepingComputer prüfte einen solchen PoC-Download mit harmlos gefüllter Datei.
Bei eigenen Browser-Tests beobachtete BleepingComputer, dass Chrome, Edge und Firefox Downloads standardmäßig im Downloads-Ordner ablegten und eine Benachrichtigung anzeigten. Brave verlangte in diesem Test eine Bestätigung. Eine Benachrichtigung oder Nachfrage sagt nichts darüber aus, ob der Inhalt einer Datei vertrauenswürdig ist.
Was die Tests mit Codex und Claude Code ergaben
Forever Security untersuchte die Angriffspfade getrennt für OpenAI Codex und Claude Code. Die berichteten Prozentwerte beziehen sich auf unterschiedliche Aktionen.
In einer isolierten virtuellen Maschine führte Codex die vorgegebene Aktion in mehr als 90 Prozent der Versuche aus, so Forever Security. Die meisten Durchläufe nutzten einen harmlosen Ersatz für die schädliche Nutzlast; das echte Paket wurde laut Bericht einmal in der VM ausgeführt. Der getestete Codex-Pfad änderte ~/.codex/config.toml, eine Konfigurationsdatei auf Maschinenebene. Eine solche Änderung konnte damit über das einzelne Downloads-Verzeichnis hinausreichen.
Im Claude-Code-Test führte eine präparierte CLAUDE.md laut Forever Security in etwa der Hälfte der Versuche zu einer Umleitung des API-Verkehrs und zur Offenlegung eines OAuth-Tokens. Ein davon getrennter Weg über einen Subagenten führte in etwa einem Fünftel der Tests zur Codeausführung in derselben Sitzung.
Welche Einstellungen und Arbeitsweisen helfen
Starte einen Coding-Agenten im vorgesehenen Projektordner und prüfe unbekannte Dateien wie AGENTS.md oder CLAUDE.md, bevor du sie in den Arbeitskontext des Agenten gelangen lässt. Lass Freigabeabfragen und Sandbox-Schutz aktiv.
Forever Security empfiehlt außerdem, auf unerwartete Änderungen an den Agenten-Konfigurationen zu achten. In ~/.codex/config.toml nennt das Unternehmen insbesondere neue Einträge unter [mcp_servers.*] oder Änderungen an chatgpt_base_url. Bei Claude Code sind eine unerwartete ANTHROPIC_BASE_URL oder Proxy-Einstellungen in der Projektdatei .claude/settings.json mögliche Hinweise, die geprüft werden sollten. Wenn eine solche Einstellung auf eine mögliche Offenlegung eines Tokens hindeutet, empfiehlt Forever Security, das betroffene Token zu ersetzen.
