Forever Security poinformowało, że w folderze ~/Downloads klienta znalazło złośliwy plik AGENTS.md. Agent programistyczny uruchomiony z tego samego folderu próbował zainstalować pakiet npm function-color; firma twierdzi, że zatrzymała próbę, zanim kod został uruchomiony. BleepingComputer opisał sprawę 25 października 2026 r.
Dlaczego folder roboczy agenta ma znaczenie
Sam plik w Downloads nie uruchamia opisanego ataku. Agent musi wczytać zawarte w nim polecenia, na przykład dlatego, że pracuje właśnie w folderze z tym plikiem. W przypadku klienta Downloads był jednocześnie miejscem przechowywania pliku i katalogiem roboczym agenta.
Forever Security sprawdziło także scenariusz, w którym strona internetowa pobiera plik AGENTS.md do folderu Downloads. BleepingComputer podał, że w swojej próbie pobrał w ten sposób plik z nieszkodliwym tekstem. W testach BleepingComputer Chrome, Edge i Firefox zapisywały pobrane pliki w Downloads i wyświetlały powiadomienia, a Brave prosił o zgodę na pobranie.
Osobne wyniki testów Codex i Claude Code
Forever Security odtworzyło ścieżkę ataku w izolowanej maszynie wirtualnej. Firma podała, że Codex uruchamiał ładunek w ponad 90% prób. Zaznaczyła też, że większość testów wykorzystywała nieszkodliwy zamiennik, a prawdziwy złośliwy pakiet uruchomiono raz. BleepingComputer osobno opisał 90-procentowy wynik testu z nieszkodliwym ładunkiem, który otwierał Kalkulator.
W ścieżce dotyczącej Codex polecenia prowadziły do zmiany konfiguracji ~/.codex/config.toml. Forever Security wskazało, że taka zmiana mogła oddziaływać także poza folderem Downloads, ponieważ dotyczyła konfiguracji na poziomie całego komputera.
W teście Claude Code spreparowany plik CLAUDE.md kierował ruch API przez kontrolowany przez badaczy serwer. Według Forever Security w około połowie prób zapis ustawienia przekierowującego ruch wiązał się z ujawnieniem tokenu OAuth. Osobna ścieżka z użyciem podagenta prowadziła do wykonania kodu w tej samej sesji w około jednej piątej prób.
Co sprawdzić w plikach i ustawieniach
Uruchamiaj agenta w katalogu projektu, nad którym pracujesz, zamiast w Downloads lub szerokim katalogu nadrzędnym. Przed użyciem przejrzyj nieznane pliki z instrukcjami, takie jak AGENTS.md i CLAUDE.md, a mechanizmy zatwierdzania działań i piaskownicę pozostaw włączone.
Forever Security zaleca sprawdzenie konfiguracji pod kątem nieoczekiwanych wpisów [mcp_servers.*] lub zmian chatgpt_base_url w ~/.codex/config.toml. W przypadku Claude Code warto sprawdzić plik .claude/settings.json pod kątem nieoczekiwanego ANTHROPIC_BASE_URL albo ustawień serwera proxy. Jeśli takie przekierowanie wskazuje na możliwe ujawnienie tokenu, firma zaleca jego rotację.
