Um arquivo AGENTS.md malicioso na sua pasta de Downloads pode sequestrar um agente de codificação de IA

Pesquisadores de segurança da Forever Security demonstraram que agentes de codificação de IA populares, incluindo o OpenAI Codex e o Claude Code da Anthropic, podem ser sequestrados com nada mais que um arquivo de texto localizado na pasta Downloads de um usuário, conforme relatado pela BleepingComputer. O ataque não requer nenhuma vulnerabilidade de software e não existe correção para resolvê-lo, porque o comportamento explorado — agentes carregando automaticamente arquivos de instruções de seu diretório de trabalho — funciona exatamente como projetado.

O pesquisador Gal Weizman disse à BleepingComputer que a técnica foi detectada pela primeira vez na máquina de um cliente, onde um agente de IA, iniciado a partir da pasta Downloads, tentou silenciosamente instalar um pacote npm malicioso chamado "function-color" após ler instruções de um arquivo plantado.

Como o ataque funciona

Agentes de codificação de IA como Codex e Claude Code leem um arquivo de instruções padrão — AGENTS.md para o Codex, CLAUDE.md para o Claude Code — a partir de qualquer diretório em que são iniciados, tratando seu conteúdo como contexto confiável para a sessão. Esse comportamento é um recurso deliberado e documentado, destinado a permitir que desenvolvedores deem ao agente orientações específicas do projeto. O problema é que o agente não distingue entre um arquivo que o desenvolvedor escreveu e um que chegou silenciosamente à pasta vindo de outro lugar.

Navegadores como Chrome, Edge e Firefox salvam arquivos baixados em ~/Downloads por padrão, e uma página web maliciosa pode colocar um arquivo ali com pouca interação do usuário. Se um usuário mais tarde iniciar um agente de IA a partir dessa mesma pasta — algo que, segundo a Forever Security, os clientes costumam fazer para organizar downloads novos ou agir sobre arquivos que acabaram de receber — o agente carregará e seguirá quaisquer instruções que o arquivo plantado contiver, sem qualquer aviso de que o arquivo não veio do desenvolvedor.

Nos testes, os pesquisadores reproduziram o ataque contra múltiplos agentes. Uma carga de prova de conceito inofensiva que simplesmente abria o aplicativo calculadora teve sucesso em 90% das tentativas contra o OpenAI Codex. Contra o Claude Code, um arquivo CLAUDE.md malicioso redirecionou o tráfego de API do agente para um servidor controlado pelo pesquisador, expondo o token de autenticação OAuth do usuário; chamadas de ferramentas executaram código escolhido pelo atacante em aproximadamente metade das execuções de teste. O Cursor CLI também foi citado entre os agentes que os clientes costumam iniciar a partir da pasta Downloads, embora não tenha sido listado entre os alvos diretamente testados.

Por que isso não é um bug que nenhuma das empresas pode corrigir

A Forever Security foi direta sobre a natureza do problema: "Não há nada aqui para a OpenAI ou a Anthropic corrigirem". Carregar um arquivo de instruções a partir do diretório de trabalho é o design intencional dessas ferramentas, não uma falha em seu código — a vulnerabilidade está na suposição de que qualquer pasta a partir da qual um usuário inicia um agente é um espaço de trabalho seguro e confiável. A telemetria interna da Forever Security mostra a escala dessa exposição: centenas de seus clientes rotineiramente executam agentes de IA a partir da pasta Downloads, e somente o Claude Code foi iniciado a partir desse local em mais de 1.300 sessões registradas.

O que fazer a respeito

O conselho de mitigação dos pesquisadores é restrito, mas concreto: nunca defina ~/Downloads, ou qualquer pasta ampla como um diretório pessoal, como diretório de trabalho de um agente de IA — inicie agentes apenas dentro da raiz de um projeto específico e conhecido. Revise manualmente qualquer arquivo AGENTS.md, CLAUDE.md ou arquivo de instruções similar desconhecido antes de permitir que um agente aja sobre ele, mantenha ativados os prompts de aprovação integrados das ferramentas e as proteções de sandboxing em vez de desativá-los por conveniência, e trate qualquer código que um agente proponha executar sobre entrada não confiável como algo a ser testado primeiro em um ambiente isolado.

A divulgação ocorre enquanto agentes de codificação de IA estão sendo amplamente adotados dentro de equipes de engenharia precisamente porque podem agir de forma autônoma na máquina de um desenvolvedor — exatamente a propriedade que esse ataque explora. À medida que a adoção de agentes cresce, o envenenamento de arquivos de instruções se junta à injeção de prompt como uma classe de ataque que não exige quebrar o software de forma alguma, apenas explorar o quanto o software é projetado para confiar em seu entorno.