Il 25 ottobre 2026 BleepingComputer ha riferito che Forever Security aveva trovato un file AGENTS.md malevolo nella cartella ~/Downloads di un cliente. Poiché quella era anche la directory di lavoro dell’agente di programmazione, il file lo aveva portato a tentare l’installazione del pacchetto npm malevolo function-color. Forever Security afferma di aver fermato il tentativo prima che il codice venisse eseguito.
Il file può influire sull’agente se viene caricato nel suo contesto di lavoro
La catena descritta dipende dal fatto che l’agente legga il file di istruzioni: per esempio, perché viene avviato nella cartella che lo contiene. Per ridurre questo rischio, conviene avviare l’agente dalla directory del progetto su cui si sta lavorando, anziché da Downloads o da una cartella più ampia.
BleepingComputer riferisce che Chrome, Edge e Firefox salvano i download in Downloads per impostazione predefinita e mostrano una notifica; nei suoi test, Brave chiedeva invece l’autorizzazione per scaricare. Le notifiche e le richieste di conferma segnalano il download, ma non ne stabiliscono l’affidabilità.
I test su Codex e Claude Code hanno esiti diversi
Forever Security ha descritto percorsi di attacco distinti per OpenAI Codex e Claude Code. I risultati sono relativi ai test dell’azienda e alle specifiche fasi provate.
Nella ricostruzione di Codex in una macchina virtuale isolata, Forever Security riferisce che il malware è stato eseguito in oltre il 90% dei tentativi. La maggior parte delle prove utilizzava però un sostituto innocuo; il pacchetto malevolo effettivo è stato eseguito una volta. BleepingComputer ha riportato separatamente un esito del 90% con un carico innocuo che apriva la calcolatrice. I due risultati si riferiscono a prove descritte in modo diverso.
Nel test su Claude Code, un file CLAUDE.md preparato dai ricercatori induceva l’agente a modificare le impostazioni del progetto e a reindirizzare il traffico API. Forever Security riferisce che il percorso di modifica delle impostazioni e di esposizione del token OAuth si è verificato in circa metà dei test; l’esecuzione di codice nella stessa sessione, tramite un subagente, in circa un quinto. Sono due fasi diverse, con esiti diversi.
Quali impostazioni e protezioni controllare
Avviare l’agente dalla cartella del progetto e leggere con attenzione i file di istruzioni sconosciuti, compresi AGENTS.md e CLAUDE.md. Forever Security raccomanda anche di mantenere attivi i controlli di approvazione e sandbox, che limitano le azioni dell’agente e l’ambiente in cui può operare.
Se si usa Codex, Forever Security indica di verificare in ~/.codex/config.toml eventuali voci inattese [mcp_servers.*] o modifiche a chatgpt_base_url. Per Claude Code, segnala di controllare nel file di progetto .claude/settings.json eventuali valori inattesi di ANTHROPIC_BASE_URL o impostazioni proxy. Se si sospetta che un reindirizzamento abbia esposto un token, l’azienda raccomanda di ruotarlo.
