AGENTS.md dans Téléchargements : un fichier suffit à détourner un agent de codage

Le 25 octobre 2026, BleepingComputer a rapporté que Forever Security a détourné des agents de codage par intelligence artificielle avec un simple fichier AGENTS.md placé dans le dossier Téléchargements, avec 90 % de réussite sur OpenAI Codex dans un test inoffensif.

Comment l'attaque a-t-elle été découverte ?

Forever Security, société qui surveille les risques liés aux agents autonomes, a repéré la technique chez un client : un agent de codage a tenté d'installer un paquet npm malveillant nommé « function-color ». L'enquête a remonté à un fichier AGENTS.md présent dans ~/Downloads, qui était aussi le dossier de travail de l'agent. Or les agents chargent automatiquement les fichiers d'instructions de leur dossier de travail.

Le fichier n'est pas un exécutable, mais du texte : ses consignes peuvent suffire pour qu'un agent lance des commandes, installe des paquets ou change des réglages avec ses permissions existantes. Selon Forever Security, dont le chercheur Gal Weizman s'est exprimé auprès de BleepingComputer, il n'y a « rien à corriger » côté OpenAI ou Anthropic.

Quels agents sont concernés ?

• OpenAI Codex : dans un test inoffensif qui ouvre la calculatrice, l'attaque a réussi 90 % du temps.

• Claude Code : une variante avec un fichier CLAUDE.md a redirigé le trafic de l'API vers un serveur contrôlé par les chercheurs. Le jeton OAuth de l'agent a ainsi été exposé, ce qui a permis d'usurper le modèle et de renvoyer des appels d'outils exécutant du code dans environ 50 % des essais.

• Forever Security affirme que des centaines de ses clients lancent des agents (Claude Code, Codex, Cursor CLI) depuis ~/Downloads, et que Claude Code a ouvert à lui seul plus de 1 300 sessions depuis cet emplacement.

Ces chiffres sont ceux de l'éditeur et d'expériences contrôlées ; aucune exploitation à grande échelle n'est rapportée.

Comment le fichier arrive-t-il dans Téléchargements ?

Selon Forever Security, une page web peut déposer silencieusement un AGENTS.md dans Téléchargements : Chrome, Edge et Firefox enregistrent par défaut sans demander, avec une simple notification, tandis que Brave demande l'accord. Les chercheurs n'ont pas pu établir comment le fichier était arrivé chez la victime observée. L'attaque exige enfin que l'utilisateur lance un agent dans ce dossier, ce qui arrive quand on demande à un agent de trier les téléchargements.

Que faire ?

OpenAI et Anthropic recommandent de lancer les agents depuis le dossier du projet, pas depuis le répertoire personnel ou un dossier large. Forever Security conseille aussi de relire tout AGENTS.md ou CLAUDE.md inconnu, de garder les demandes d'approbation et les bacs à sable actifs, et de tester du code douteux dans un environnement isolé. Le même mécanisme de détournement d'assistants de codage avait déjà été exploité autrement dans l'affaire Shai-Hulud.

L'article source ne rapporte aucune déclaration d'OpenAI ou d'Anthropic sur un correctif.

Source

• BleepingComputer, 25 octobre 2026 : AI coding agents hijacked using AGENTS.md file in Downloads folder