Agents de codage IA détournés via un fichier AGENTS.md malveillant dans le dossier Téléchargements

Des chercheurs de Forever Security ont découvert une nouvelle voie d’attaque qui détourne les agents de codage par intelligence artificielle au moyen d’un simple fichier markdown déposé dans le dossier Téléchargements de la victime. La technique, reproduite contre OpenAI Codex et démontrée contre Claude Code, permet d’installer des paquets npm malveillants, de voler des jetons OAuth et de prendre le contrôle du compte de l’utilisateur, le tout sans exécuter le moindre code exécutable.

Les fichiers AGENTS.md sont des documents en texte brut qui contiennent des instructions spécifiques au projet pour les agents de codage IA : outils à utiliser, procédures de test, conventions de code. Les agents chargent automatiquement ces fichiers depuis leur répertoire de travail et s’en servent pour guider leurs actions. Bien que non exécutables, les instructions qu’ils contiennent peuvent amener l’agent à lancer des commandes, installer des paquets ou modifier des paramètres avec les permissions dont il dispose.

Forever Security a identifié l’attaque sur le poste d’un client où un agent de codage a tenté d’installer le paquet npm malveillant « function-color ». L’enquête a remonté la tentative à un fichier AGENTS.md présent dans le dossier ~/Downloads, qui servait aussi de répertoire de travail à l’agent.

Les chercheurs soulignent une propriété critique du dossier Téléchargements : c’est le seul répertoire dans lequel le web peut écrire de lui-même. Une page web malveillante peut y déposer un fichier nommé AGENTS.md sans aucune interaction de l’utilisateur. Par défaut, Chrome, Edge et Firefox enregistrent les téléchargements dans ce dossier sans demander de confirmation de destination. Brave, en revanche, demande une approbation, ce qui alerte l’utilisateur.

Une preuve de concept a démontré qu’une page web peut faire télécharger silencieusement un fichier AGENTS.md contenant des instructions malveillantes. Les navigateurs affichent bien une notification de téléchargement, mais celle-ci passe souvent inaperçue.

Les tests de Forever Security ont confirmé qu’un attaquant peut manipuler OpenAI Codex et Claude Code pour qu’ils exécutent du code ou dérobent des identifiants. Dans le cas de Codex, l’agent a installé le paquet npm piégé. Pour Claude Code, la technique a permis de fuiter des jetons OAuth et de détourner le compte.

Les chercheurs insistent : il n’y a rien à corriger du côté d’OpenAI ou d’Anthropic. Un agent qui suit les instructions AGENTS.md de son dossier de travail fait exactement ce pour quoi il a été conçu. La responsabilité incombe à l’environnement d’exécution et aux pratiques de sécurité des utilisateurs.

Plusieurs parades sont envisageables. La plus immédiate consiste à configurer son navigateur pour demander la destination de chaque téléchargement, ou à interdire l’écriture automatique dans ~/Downloads. Les développeurs peuvent aussi lancer leurs agents depuis un répertoire de travail dédié, distinct du dossier Téléchargements, et auditer les fichiers AGENTS.md avant de laisser un agent y accéder. Enfin, les éditeurs d’agents IA gagneraient à implémenter une validation des instructions chargées, par exemple en exigeant une confirmation explicite pour les actions sensibles comme l’installation de paquets ou l’accès aux secrets.

Sources : BleepingComputer, The Register, Numerama Cyberguerre