Claude Code et Codex obéissent à un fichier qu’un site peut glisser dans vos Téléchargements

Un fichier texte enregistré par un site web dans votre dossier Downloads peut désormais donner des instructions à l’agent de programmation IA installé sur votre ordinateur. Des chercheurs de Forever Security ont découvert un fichier AGENTS.md dissimulé sur l’ordinateur d’un client. Ce fichier d’instructions en texte brut, lu au démarrage par des outils comme Codex d’OpenAI, avait demandé à l’agent d’installer un logiciel malveillant connu. Si vous avez déjà ouvert Claude Code ou Codex depuis Downloads pour faire un peu de ménage ou travailler sur un fichier que vous veniez de télécharger, vous avez accordé à ce dossier le même niveau de confiance qu’à l’un de vos propres projets.

Du point de vue de ses propres règles, l’agent n’a rien fait de mal. AGENTS.md et son équivalent pour Claude, CLAUDE.md, permettent à un projet d’indiquer à un agent quels outils utiliser et comment lancer ses tests ; l’agent est conçu pour suivre ces consignes. Les chercheurs soulignent que Downloads est le seul dossier qu’un site web peut remplir de lui-même. « Il n’y a rien ici qu’OpenAI ou Anthropic puisse corriger », écrivent-ils. « Un agent qui suit le fichier AGENTS.md présent dans son dossier fait exactement ce pour quoi il a été conçu. »

Le véritable fichier était un document de 13 Ko présenté comme un guide de bonnes pratiques d’ingénierie. L’attaque, dissimulée vers la fin, était formulée sur le ton posé d’une note de configuration. Le document demandait à Codex d’ajouter à sa configuration un serveur d’« outils de projet » et d’installer un paquet npm nommé function-color, que les chercheurs décrivent comme un logiciel malveillant issu d’une campagne passée inaperçue pendant près de deux ans. Le logiciel de Forever a bloqué l’installation avant l’exécution du moindre code. Lors des tests de l’équipe, menés principalement avec un substitut inoffensif qui se contentait d’ouvrir la calculatrice, Codex a exécuté les instructions du fichier dans plus de 90 % des tentatives ; le véritable paquet a également été lancé une fois dans une machine virtuelle isolée. La modification est inscrite dans le fichier de paramètres de Codex valable pour toute la machine : chaque session ultérieure de Codex charge donc le serveur de l’attaquant, quel que soit le dossier utilisé.

Lecture recommandéeL’IA de piratage d’OpenAI réussit 95 % des chaînes d’exploitation

Claude Code s’est montré plus difficile à tromper. L’équipe a rédigé son propre fichier CLAUDE.md, conçu pour convaincre Claude de faire transiter le trafic de son API par un serveur contrôlé par l’attaquant, présenté comme une passerelle d’entreprise. Ce simple réglage lui livre le jeton de connexion à Claude. Les chercheurs l’ont réutilisé auprès de la véritable API d’Anthropic pour agir au nom de la victime. Il permet aussi au faux serveur de répondre à la place du modèle et de renvoyer des commandes avec le bac à sable désactivé. Claude demande à un humain d’approuver une modification de paramètres de ce type et la refuse souvent, mais l’écriture a tout de même abouti environ une fois sur deux.

Déposer le fichier sur une machine est plus facile qu’on ne pourrait le croire. Par défaut, Chrome, Edge et Firefox enregistrent les téléchargements dans ce dossier sans demander où les placer, et une page web peut choisir le nom et le contenu du fichier. BleepingComputer, qui a rendu compte de ces découvertes, s’est rendu sur la page de démonstration des chercheurs et l’a vue déposer un fichier AGENTS.md inoffensif. Brave a d’abord demandé l’autorisation. Gal Weizman, chercheur chez Forever, a indiqué au média que des centaines de clients de l’entreprise lancent Claude Code, Codex ou l’agent en ligne de commande de Cursor depuis Downloads, et que Claude Code y avait été lancé à lui seul au cours de plus de 1 300 sessions.

Cette étude comporte des zones d’ombre. Forever n’a pas pu établir comment le fichier malveillant était arrivé sur l’ordinateur de son client, et l’attaque nécessite toujours que quelqu’un lance ensuite un agent depuis ce dossier. Chrome, Edge et Firefox affichent bien un avis de téléchargement, qu’un utilisateur attentif peut remarquer. Le véritable programme malveillant était conçu pour macOS. Forever commercialise aussi un logiciel de surveillance des agents IA : l’entreprise a donc un intérêt commercial dans le risque qu’elle décrit. En outre, le rapport ne contient aucune réponse d’OpenAI ou d’Anthropic. Les outils concernés sont vendus dans le monde entier ; l’exposition est donc la même sur tous les marchés où les développeurs les utilisent.

La protection repose surtout sur de bonnes habitudes. Ne lancez jamais un agent de programmation depuis Downloads : démarrez-le dans le dossier du projet sur lequel il doit travailler, comme OpenAI et Anthropic le recommandent déjà. Lisez tout fichier AGENTS.md ou CLAUDE.md que vous n’avez pas écrit vous-même avant de laisser un agent le consulter, et laissez activées les demandes d’approbation ainsi que les protections du bac à sable. Dans le fichier de paramètres de Codex, recherchez une entrée de serveur que vous n’avez pas ajoutée. Dans les paramètres Claude d’un projet, vérifiez qu’aucune adresse d’API inconnue n’y figure. Si vous en trouvez une, considérez que le jeton de connexion a été volé et révoquez-le ; toute machine sur laquelle function-color a été installé — le paquet a depuis été retiré par npm — doit être considérée comme compromise.

Forever a publié son rapport le 22 octobre, puis BleepingComputer a consacré un article à l’affaire le 25 octobre. Selon les chercheurs, tout agent qui lit un fichier d’instructions et peut modifier sa propre configuration est susceptible d’être détourné de la même manière : Codex et Claude Code ne seraient donc que les deux premiers noms d’une liste appelée à s’allonger. Un téléchargement dans le navigateur était autrefois inoffensif tant que personne ne l’ouvrait. Désormais, le fichier s’ouvre de lui-même dès qu’un agent commence à lire le contenu du dossier.

Étiquettes: OpenAI, cybersécurité, Anthropic, agents IA, Claude Code, Forever Security

Dans le même genre

Dissimuler un piratage vient de devenir illégal en Europe — les fabricants ont 24 heures pour signaler

Des chercheurs du KIT ont identifié 197 personnes avec un routeur WiFi ordinaire — sans caméras

Votre téléphone ou votre box a peut-être été l’un des 17 millions d’appareils loués en secret

Apple n’a plus de recours légaux en Europe — les trois contestations du DMA rejetées

128 nations s’accordent sur des regles pour les robots tueurs — mais les grandes puissances refusent

Une IA à 1 000 dollars a trouvé 21 failles zero-day dans FFmpeg