Forever Security meldde dat een AI-codeagent vanuit de map Downloads van een klant een kwaadaardig AGENTS.md-bestand inlas en probeerde het npm-pakket function-color te installeren. Het bedrijf zei dat het de poging stopte voordat code werd uitgevoerd. BleepingComputer publiceerde het bericht op 25 oktober 2026.
Wat er in de map Downloads gebeurde
De map Downloads was ook de werkmap van de agent. Daardoor kon het instructiebestand worden ingelezen toen de agent daar werd gestart. De oorspronkelijke manier waarop het bestand in de map terechtkwam, speelde geen rol in de beschreven aanvalsketen: de agent moest de instructies wel laden om erop te reageren.
De tests met Codex en Claude Code
Forever Security onderzocht afzonderlijke aanvalspaden met OpenAI Codex en Claude Code. In de Codex-route veranderde de instructie de systeembrede configuratie in ~/.codex/config.toml. Daardoor kon de wijziging ook buiten de map Downloads doorwerken. BleepingComputer beschreef daarnaast een eigen Codex-test: een onschadelijke payload die de Rekenmachine opende, slaagde volgens de publicatie in 90% van de pogingen.
Voor Claude Code beschreef Forever Security een andere route. Een aangepast CLAUDE.md-bestand stuurde API-verkeer naar een andere server. In ongeveer de helft van de tests leidde de configuratiewijziging volgens het bedrijf tot blootstelling van een OAuth-token. Een afzonderlijke route via een subagent leidde in ongeveer een vijfde van de tests tot code-uitvoering binnen dezelfde sessie.
Welke instellingen en gewoonten je kunt controleren
Start een codeagent vanuit de projectmap waaraan je werkt, niet vanuit Downloads of een brede bovenliggende map. Bekijk onbekende bestanden zoals AGENTS.md en CLAUDE.md voordat je een agent ermee laat werken, en laat goedkeuringsvragen en sandboxbeveiliging ingeschakeld.
Controleer bij Codex op onverwachte vermeldingen onder [mcp_servers.*] en wijzigingen aan chatgpt_base_url in ~/.codex/config.toml. Kijk bij Claude Code in het projectbestand .claude/settings.json naar onverwachte waarden voor ANTHROPIC_BASE_URL of een proxy-instelling. Forever Security adviseert een token te vervangen als een gevonden omleiding op mogelijke blootstelling wijst.
