Forever Security rapporte qu’un agent a tenté d’installer un paquet après avoir lu un AGENTS.md malveillant

Le 25 octobre 2026, BleepingComputer a rapporté que Forever Security avait découvert un fichier AGENTS.md malveillant dans le dossier ~/Downloads d’un client, où se trouvait aussi le répertoire de travail de son agent de code. L’agent avait tenté d’installer le paquet npm function-color; Forever Security dit avoir interrompu la tentative avant l’exécution du code.

Pourquoi le dossier de travail compte

Un fichier d’instructions comme AGENTS.md peut guider un agent s’il le charge depuis son contexte de travail. Dans le scénario décrit, l’agent devait donc démarrer dans le dossier contenant le fichier, ou le charger d’une autre manière. Sa simple présence dans Downloads ne déclenche pas à elle seule la chaîne décrite.

Forever Security a testé le scénario d’une page web qui télécharge dans Downloads un fichier nommé AGENTS.md. BleepingComputer a vérifié le téléchargement d’un fichier de démonstration contenant du texte inoffensif. Dans ses essais, BleepingComputer a également constaté que Chrome, Edge et Firefox enregistrent par défaut les téléchargements dans Downloads et affichent une notification; Brave lui a demandé une autorisation. Une notification ou une demande d’autorisation signale un téléchargement, pas l’innocuité de son contenu.

Les tests de Codex et Claude Code suivaient des parcours différents

Dans sa reconstruction en machine virtuelle isolée, Forever Security rapporte un taux supérieur à 90 % pour l’exécution de la charge testée avec Codex. La plupart des essais utilisaient un substitut inoffensif; le paquet malveillant réel a aussi été exécuté une fois dans la machine virtuelle. BleepingComputer a rapporté un résultat distinct de 90 % avec une charge qui ouvrait la calculatrice.

Le parcours Codex décrit par Forever Security reposait sur une modification de ~/.codex/config.toml, un fichier de configuration à l’échelle de la machine. Ce changement pouvait dépasser le dossier Downloads et persister dans d’autres sessions.

Pour Claude Code, un CLAUDE.md conçu pour le test modifiait le réglage du projet afin de rediriger le trafic API vers un point de terminaison contrôlé par les chercheurs. Forever Security rapporte que la voie de modification de la configuration et d’exposition d’un jeton OAuth a fonctionné dans environ la moitié des essais. Une voie distincte, passant par un sous-agent au cours de la même session, a conduit à l’exécution de code dans environ un cinquième des essais.

Quels réglages vérifier

Démarrez l’agent depuis le dossier du projet concerné plutôt que depuis Downloads ou un dossier parent trop large. Avant de le lancer, lisez les fichiers d’instructions inconnus, notamment AGENTS.md et CLAUDE.md. Gardez activés les contrôles d’approbation et le bac à sable, et exécutez le code non fiable dans un environnement isolé.

Forever Security recommande aussi de vérifier ~/.codex/config.toml pour repérer des entrées [mcp_servers.*] ou une valeur chatgpt_base_url inattendues. Dans .claude/settings.json, contrôlez la présence d’une valeur ANTHROPIC_BASE_URL ou d’un réglage de proxy inhabituel. Si vous soupçonnez qu’un jeton a été exposé par une redirection, renouvelez-le.