A Forever Security relatou que encontrou um arquivo AGENTS.md malicioso na pasta Downloads de um cliente. Como o agente de programação com IA também estava trabalhando nesse diretório, tentou instalar o pacote npm malicioso function-color. A empresa diz que interrompeu a tentativa antes de o código ser executado.
A BleepingComputer publicou o relato em 25 de outubro de 2026. Essa é a data da publicação, não a data informada para o incidente. Em testes separados, a Forever Security examinou caminhos de ataque com OpenAI Codex e Claude Code.
Como o arquivo entrou no contexto do agente
O risco descrito depende de o agente carregar o arquivo de instruções a partir do contexto em que está trabalhando. No incidente relatado, Downloads era também o diretório de trabalho do agente. A simples presença de um arquivo nessa pasta não corresponde, por si só, à cadeia descrita.
A Forever Security testou a hipótese de uma página da web baixar silenciosamente um arquivo chamado AGENTS.md para Downloads. Em uma verificação de prova de conceito, a BleepingComputer relatou ter baixado um arquivo com texto inofensivo. Segundo a publicação, Chrome, Edge e Firefox salvavam downloads em Downloads por padrão e exibiam notificações; no teste da BleepingComputer, o Brave pediu aprovação para baixar o arquivo.
O que os testes relataram sobre Codex e Claude Code
Os resultados descritos pela Forever Security correspondem a etapas diferentes. Na reconstrução com Codex, a empresa relatou que a rota de execução funcionou em mais de 90% das tentativas. A maior parte dos ensaios usou uma carga inofensiva; a empresa também relatou ter executado o pacote malicioso real uma vez em uma máquina virtual isolada. O caminho testado alterava o arquivo global ~/.codex/config.toml, o que poderia afetar sessões futuras.
No teste com Claude Code, um arquivo CLAUDE.md preparado pelos pesquisadores orientava uma mudança de configuração para redirecionar o tráfego da API. A Forever Security relatou exposição de token OAuth em cerca de metade das tentativas e execução de código na mesma sessão em cerca de um quinto delas, por meio de uma rota com subagente. O redirecionamento de tráfego e a execução de código são resultados distintos; uma taxa não representa a outra.
Esses números são resultados relatados pela Forever Security para seus testes com Codex e Claude Code. No incidente do cliente, a empresa disse que interrompeu a tentativa de instalação antes da execução do código.
O que conferir nas configurações do agente
Abra o agente a partir da pasta do projeto em que pretende trabalhar, em vez de usar Downloads ou uma pasta superior ampla. Antes de iniciar uma sessão, revise arquivos de instruções desconhecidos, como AGENTS.md e CLAUDE.md, e mantenha ativos os controles de aprovação e isolamento do agente.
A Forever Security recomenda conferir alterações inesperadas nas configurações. Em ~/.codex/config.toml, procure entradas desconhecidas em [mcp_servers.*] ou mudanças em chatgpt_base_url. No arquivo .claude/settings.json do projeto, confira valores inesperados em ANTHROPIC_BASE_URL ou configurações de proxy. Se encontrar uma configuração que redirecione o tráfego e houver suspeita de exposição, a empresa recomenda trocar o token correspondente.
