Une fausse note AGENTS.md pousse les agents de codage IA à installer un paquet npm piégé
Les chercheurs de Forever Security ont reproduit l'attaque sur OpenAI Codex et Claude Code ; rien ne serait à corriger selon eux.
Des chercheurs de Forever Security ont découvert un fichier AGENTS.md malveillant dans le dossier Téléchargements d'un client, qui tentait de faire installer par un agent de codage IA le paquet npm « function-color ». L'attaque a été reproduite sur OpenAI Codex et sur Claude Code, rapporte BleepingComputer le 25 octobre 2026.
Dans leurs tests sur OpenAI Codex, le fichier d'instructions a conduit l'agent à ouvrir l'application Calculatrice dans environ 90 % des essais. Les chercheurs ont également démontré une technique voisine avec un fichier CLAUDE.md malveillant, qui redirigeait le trafic API de Claude Code vers un serveur qu'ils contrôlaient.
Lors de ce test sur Claude Code, le token OAuth a été exposé et le serveur a exécuté des appels d'outils dans environ 50 % des essais. Les chercheurs ont aussi publié une page de démonstration qui téléchargeait silencieusement un fichier AGENTS.md dans le dossier Téléchargements.
Selon leurs statistiques internes, plusieurs centaines de clients lancent des agents comme Claude Code, OpenAI Codex ou Cursor CLI depuis leur dossier ~/Downloads, et plus de 1 300 sessions Claude Code ont été démarrées depuis cet emplacement. Ils recommandent de ne pas définir ~/Downloads comme répertoire de travail d'un agent de codage.
Un comportement conforme à la conception de l'agent
Les chercheurs estiment qu'il n'y a rien à corriger pour OpenAI ou Anthropic, l'agent se contentant de faire ce pour quoi il a été conçu. Les fichiers Markdown de ce type, comme AGENTS.md, contiennent des instructions propres à un projet et sont chargés automatiquement par les agents depuis leur répertoire de travail.
Les chercheurs n'ont pas pu déterminer comment le fichier d'instructions malveillant était arrivé dans le dossier ~/Downloads de la cible.
En bref
Qu'est-ce qu'un fichier AGENTS.md ?
Un fichier Markdown qui contient des instructions propres à un projet (outils à utiliser, commandes de test, conventions de code) et que les agents de codage IA chargent automatiquement depuis leur répertoire de travail.
OpenAI ou Anthropic doivent-ils publier un correctif ?
Selon Forever Security, non : l'agent exécute simplement ce pour quoi il a été conçu.
Comment se protéger ?
Les chercheurs conseillent de ne pas définir ~/Downloads comme répertoire de travail d'un agent de codage IA.