Des fichiers AGENTS.md malveillants exploitent les agents de codage IA via le dossier Téléchargements

Un fichier d'instructions malveillant placé dans le dossier Téléchargements d'un développeur a tenté de contraindre un agent de codage IA à installer un logiciel malveillant, selon un rapport publié la semaine dernière par la société de sécurité Forever Security. Cet incident met en évidence une nouvelle voie d'attaque où des fichiers locaux fiables sont utilisés pour injecter des commandes dans des agents tels que Codex d'OpenAI et Claude Code d'Anthropic.

Ce qui s'est passé

Forever Security a détecté cette tentative sur la machine d'un client réel et est intervenue avant l'exécution de tout code. Le fichier malveillant était nommé AGENTS.md, un document en texte brut que les agents de codage lisent pour obtenir du contexte et des instructions lors de leur initialisation dans un répertoire. Déguisé en notes techniques routinières, le fichier contenait une directive demandant à l'agent de modifier sa configuration et d'installer un paquet npm appelé function-color. Ce paquet est lié à la campagne de logiciels malveillants MALFEX, précédemment analysée par des chercheurs de CloudSEK et Checkmarx. Le paquet function-color agit comme un téléchargeur pour function-flag, qui récupère ensuite et exécute une charge utile Windows.

L'attaque repose sur la combinaison dangereuse de deux comportements bénins. Premièrement, les agents de codage sont conçus pour faire confiance aux instructions trouvées dans des fichiers locaux comme AGENTS.md ou CLAUDE.md et pour les suivre. Deuxièmement, les navigateurs web peuvent enregistrer automatiquement des fichiers dans le dossier Téléchargements sans interaction utilisateur ni demande d'autorisation. Bien que Forever Security n'ait pas pu confirmer exactement comment le fichier est arrivé sur la machine du client, ils ont démontré qu'une page web pouvait déposer silencieusement un tel fichier. Dans leur preuve de concept, la visite d'une page spécifique entraînait l'apparition d'un fichier AGENTS.md dans le dossier Téléchargements, prêt à être exécuté par tout agent démarré dans ce répertoire.

Pour valider la menace, les chercheurs ont reproduit l'attaque dans des environnements isolés. En ciblant Codex, le fichier malveillant instruisait l'agent d'enregistrer un serveur dans ~/.codex/config.toml et d'exécuter une commande pour installer le paquet. Comme ce fichier de configuration s'applique globalement, la modification persisterait dans toutes les futures sessions. Codex a exécuté le logiciel malveillant dans plus de 90 % des tentatives de test. Contre Claude Code, l'attaque impliquait un fichier CLAUDE.md tentant d'écrire une ANTHROPIC_BASE_URL dans les paramètres du projet, redirigeant le trafic API vers un serveur contrôlé par l'attaquant. Cela aurait permis de divulguer des jetons de connexion et d'usurper l'identité du modèle. En raison des exigences d'approbation de Claude, cette variante n'a réussi que dans environ la moitié des cas.

Comment cela fonctionne

Cette technique est une forme d'injection de prompt via des artefacts du système de fichiers local. Les agents de codage fonctionnent en scannant leur répertoire de travail pour trouver des fichiers de contexte, tels que AGENTS.md, qui fournissent des directives de comportement. En plaçant une version malveillante de ce fichier dans un répertoire auquel l'agent fait confiance, les attaquants peuvent remplacer les comportements sûrs par des instructions nuisibles. L'agent interprète ces commandes textuelles comme une intention légitime de l'utilisateur.

La vulnérabilité est exacerbée par le comportement par défaut des navigateurs web et des systèmes d'exploitation. Le dossier Téléchargements est une zone d'atterrissage courante pour les fichiers provenant d'Internet, mais c'est aussi un point de départ fréquent pour les développeurs qui initialisent de nouveaux projets ou testent du code. Puisque les navigateurs peuvent écrire dans ce dossier sans consentement explicite pour chaque fichier, un attaquant peut planter le mécanisme déclencheur à distance. Une fois que l'agent démarre dans ce dossier, il lit les instructions malveillantes comme si elles faisaient partie de la documentation légitime du projet.

Détails clés

• Le fichier malveillant AGENTS.md instruisait les agents d'installer function-color, un paquet npm associé à la campagne de logiciels malveillants MALFEX.
• Codex a exécuté la charge utile malveillante dans plus de 90 % des tentatives lorsqu'il était lancé depuis le répertoire infecté.
• Les attaques contre Claude Code visaient les paramètres ANTHROPIC_BASE_URL pour voler des jetons de session, réussissant dans environ 50 % des cas en raison des invites d'approbation.
• Les navigateurs web peuvent enregistrer silencieusement des fichiers dans le dossier Téléchargements, permettant le dépôt à distance de fichiers d'instructions malveillants.
• Forever Security déclare qu'il n'y a pas de correctif pour OpenAI ou Anthropic, car les agents fonctionnent comme prévu en suivant les instructions locales.
• La télémétrie indique qu'environ la moitié des clients de Forever Security exécutent des agents de codage dans leur dossier Téléchargements.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables techniques, cet incident souligne le risque de traiter les agents IA comme des entités entièrement autonomes sans contrôles stricts de périmètre. L'hypothèse selon laquelle les fichiers locaux sont sûrs n'est plus valide lorsque ces fichiers peuvent être injectés via des activités de navigation web. Les développeurs qui ont l'habitude de démarrer leurs sessions de codage dans leur dossier Téléchargements ou qui clonent des dépôts directement dedans sont particulièrement vulnérables. L'attaque ne nécessite pas d'exploits complexes ; elle exploite la fonctionnalité principale des outils sur lesquels les développeurs comptent quotidiennement.

De plus, le mécanisme de persistance dans Codex, qui modifie les fichiers de configuration globaux, signifie qu'une seule infection réussie peut compromettre toutes les futures sessions d'agents sur une machine. Pour Claude Code, le risque implique le vol d'identifiants, ce qui peut conduire à la prise de contrôle du compte et à un accès non autorisé à des bases de code propriétaires. Étant donné que les fournisseurs considèrent cela comme un problème de modèle d'utilisation plutôt que comme un bug logiciel, la responsabilité de l'atténuation incombe entièrement aux utilisateurs finaux et à leurs pratiques de sécurité opérationnelle.

Ce que vous pouvez faire

• N'initialisez jamais d'agents de codage IA comme Codex ou Claude Code dans le répertoire ~/Downloads.
• Inspectez tous les fichiers AGENTS.md ou CLAUDE.md dans les nouveaux dépôts ou ceux téléchargés avant de permettre à un agent de les lire.
• Auditez régulièrement ~/.codex/config.toml pour repérer les entrées de serveur non autorisées et .claude/settings.json pour les points de terminaison API modifiés.
• Gardez les invites d'approbation et les fonctionnalités de sandboxing activées, et refusez toute demande de l'agent de les désactiver.
• Si un fichier d'instructions malveillant est découvert, supposez que les jetons de session ont été compromis et faites-les pivoter immédiatement.
• Soyez prudent lorsque vous utilisez des agents pour naviguer sur le web, car ils peuvent télécharger involontairement des fichiers malveillants sans visibilité de l'utilisateur.