Un fichier téléchargé à votre insu peut piloter les assistants de code Codex et Claude Code

Le fichier s'appelait AGENTS.md et se trouvait dans le dossier Téléchargements d'un client de Forever Security. « Personne ne l'avait mis là, et personne ne savait comment il y était arrivé », écrivent les chercheurs de cette société, spécialisée dans les risques liés aux agents d'IA. Leur outil a bloqué l'attaque avant que le moindre code ne s'exécute. Il leur restait à comprendre ce qu'elle visait.

Leur réponse, publiée le 22 octobre par Gal Weizman et Omer Samet puis relayée le 25 octobre par BleepingComputer, concerne tous les développeurs qui utilisent un assistant de programmation. Une page web peut déposer un fichier nommé AGENTS.md dans le dossier Téléchargements de son visiteur. Si celui-ci lance ensuite un agent depuis ce dossier, l'agent prend le fichier pour une consigne de confiance. Lors de leurs essais, Codex, l'agent d'OpenAI, a exécuté le programme malveillant dans plus de 90 % des tentatives. Claude Code, celui d'Anthropic, a modifié sa configuration environ une fois sur deux et a exécuté du code environ une fois sur cinq. Selon eux, il n'y a rien à corriger côté éditeurs.

Pourquoi un simple fichier texte peut suffire

Les agents de programmation lisent automatiquement les fichiers d'instructions de leur répertoire de travail : AGENTS.md pour Codex, CLAUDE.md pour Claude Code. C'est ainsi qu'ils apprennent les règles d'un projet. Mais le dossier Téléchargements n'est pas un projet, et n'importe quel site peut y écrire.

Avec Codex, le fichier piégé amène l'agent à ajouter un serveur à sa configuration, puis à installer un paquet npm malveillant nommé function-color. Les chercheurs résument : l'agent a exécuté le code de l'attaquant en une seule session, « sans que personne n'ait rien accepté ». Leur démonstration publique se contente d'ouvrir la calculatrice.

Claude résiste davantage. Il doit normalement obtenir l'accord d'un humain avant une telle modification et refuse souvent celles qui paraissent suspectes, reconnaissent les auteurs. Ceux-ci l'ont contourné avec un long faux document technique, présenté comme des consignes d'ingénierie. Quand la ruse fonctionne, Claude Code envoie ses échanges vers un serveur de l'attaquant au lieu de ceux d'Anthropic. L'attaquant pourrait alors récupérer le jeton de connexion de l'utilisateur et répondre à la place du modèle pour faire exécuter des commandes. L'article ne précise pas comment l'accord de l'utilisateur a été obtenu lors des essais réussis.

Une habitude bien plus répandue qu'on ne le croit

Le scénario suppose que l'agent soit lancé dans ce dossier précis. Ce n'est pas rare : selon les mesures de Forever Security, environ la moitié de ses clients font tourner un agent de programmation dans Téléchargements. BleepingComputer précise que Claude Code y a ouvert plus de 1 300 sessions chez ces clients. Chrome, Edge et Firefox enregistrent par défaut les fichiers sans demander où, mais affichent une notification. Brave, lui, demande une validation.

Pour Forever Security, « il n'y a rien à corriger pour OpenAI ou Anthropic » : les agents font ce pour quoi ils ont été conçus. Le problème tient au lieu, un dossier que le Web peut remplir et que l'agent traite comme sûr. Selon BleepingComputer, OpenAI et Anthropic recommandent déjà de lancer leurs agents depuis le dossier du projet.

Les bons réflexes pour ne pas se faire piéger

Puisqu'aucune mise à jour ne fermera cette porte, la protection repose sur les habitudes de travail. Les chercheurs et BleepingComputer recommandent ceci :

• ne jamais lancer un agent de programmation dans le dossier Téléchargements, ni dans un dossier fourre-tout comme le répertoire personnel, mais à la racine du projet concerné ;
• lire tout fichier AGENTS.md, CLAUDE.md ou équivalent dont on ne connaît pas l'origine avant de laisser un agent le suivre ;
• vérifier la configuration des agents : blocs mcp_servers ajoutés chez Codex, variable ANTHROPIC_BASE_URL modifiée chez Claude Code ;
• garder les demandes de validation et le bac à sable activés ;
• en cas de compromission, renouveler les jetons de connexion et chercher la présence du paquet function-color.

Les agents de programmation sont devenus une cible de choix, comme l'avait montré la version piégée de LiteLLM qui volait les accès au cloud. Reste à savoir si OpenAI et Anthropic accepteront de traiter ce risque, par exemple en refusant de charger des consignes en dehors d'un projet identifié.