Un fichier AGENTS.md malveillant dans votre dossier Téléchargements peut détourner un agent de codage IA

Des chercheurs en sécurité de Forever Security ont démontré que des agents de codage IA populaires, dont OpenAI Codex et Claude Code d'Anthropic, peuvent être détournés par rien de plus qu'un fichier texte posé dans le dossier Téléchargements d'un utilisateur, selon BleepingComputer. L'attaque ne nécessite aucune vulnérabilité logicielle et aucun correctif n'existe pour y remédier, car le comportement exploité — le chargement automatique par les agents de fichiers d'instructions depuis leur répertoire de travail — fonctionne exactement comme prévu.

Le chercheur Gal Weizman a déclaré à BleepingComputer que la technique avait été repérée pour la première fois sur la machine d'un client, où un agent IA, lancé depuis le dossier Téléchargements, a silencieusement tenté d'installer un paquet npm malveillant nommé « function-color » après avoir lu les instructions d'un fichier implanté.

Comment fonctionne l'attaque

Les agents de codage IA comme Codex et Claude Code lisent un fichier d'instructions standard — AGENTS.md pour Codex, CLAUDE.md pour Claude Code — depuis le répertoire dans lequel ils sont lancés, traitant son contenu comme un contexte fiable pour la session. Ce comportement est une fonctionnalité délibérée et documentée destinée à permettre aux développeurs de donner à l'agent des indications spécifiques au projet. Le problème est que l'agent ne distingue pas un fichier écrit par le développeur d'un fichier arrivé silencieusement dans le dossier depuis ailleurs.

Des navigateurs comme Chrome, Edge et Firefox enregistrent par défaut les fichiers téléchargés dans ~/Downloads, et une page web malveillante peut y déposer un fichier avec peu d'interaction de l'utilisateur. Si un utilisateur lance ensuite un agent IA depuis ce même dossier — une pratique que, selon Forever Security, les clients adoptent couramment pour organiser de nouveaux téléchargements ou agir sur des fichiers qu'ils viennent de recevoir — l'agent chargera et suivra toute instruction contenue dans le fichier implanté, sans aucun avertissement indiquant que le fichier ne provient pas du développeur.

Lors des tests, les chercheurs ont reproduit l'attaque contre plusieurs agents. Une charge utile de preuve de concept inoffensive, se contentant d'ouvrir l'application calculatrice, a réussi dans 90 % des tentatives contre OpenAI Codex. Contre Claude Code, un fichier CLAUDE.md malveillant a redirigé le trafic API de l'agent vers un serveur contrôlé par le chercheur, exposant le jeton d'authentification OAuth de l'utilisateur ; les appels d'outils ont exécuté du code choisi par l'attaquant dans environ la moitié des essais. Cursor CLI a également été cité parmi les agents que les clients lancent couramment depuis le dossier Téléchargements, bien qu'il ne figure pas parmi les cibles directement testées.

Pourquoi ce n'est pas un bug que l'une ou l'autre entreprise puisse corriger

Forever Security a été direct sur la nature du problème : « Il n'y a rien ici qu'OpenAI ou Anthropic puisse corriger. » Charger un fichier d'instructions depuis le répertoire de travail est la conception voulue de ces outils, pas une faille dans leur code — la vulnérabilité réside dans l'hypothèse selon laquelle n'importe quel dossier depuis lequel un utilisateur lance un agent est un espace de travail sûr et fiable. La télémétrie interne de Forever Security montre l'ampleur de cette exposition : des centaines de ses clients exécutent régulièrement des agents IA depuis le dossier Téléchargements, et Claude Code seul a été lancé depuis cet emplacement dans plus de 1 300 sessions enregistrées.

Que faire face à cela

Le conseil de mitigation des chercheurs est restreint mais concret : ne définissez jamais ~/Downloads, ni aucun dossier large comme un répertoire personnel, comme répertoire de travail d'un agent IA — lancez les agents uniquement à l'intérieur de la racine d'un projet spécifique et connu. Examinez manuellement tout fichier AGENTS.md, CLAUDE.md ou fichier d'instructions similaire inconnu avant de laisser un agent agir dessus, gardez activées les invites d'approbation intégrées des outils et les protections de sandboxing plutôt que de les désactiver par commodité, et traitez tout code qu'un agent propose d'exécuter sur une entrée non fiable comme quelque chose à tester d'abord dans un environnement isolé.

Cette divulgation intervient alors que les agents de codage IA sont adoptés massivement au sein des équipes d'ingénierie précisément parce qu'ils peuvent agir de manière autonome sur la machine d'un développeur — exactement la propriété que cette attaque exploite. À mesure que l'adoption des agents augmente, l'empoisonnement de fichiers d'instructions rejoint l'injection de prompt comme classe d'attaque qui ne nécessite aucunement de casser le logiciel, seulement d'exploiter à quel point le logiciel est conçu pour faire confiance à son environnement.