Un fichier AGENTS.md piégé dans le dossier Téléchargements peut détourner Codex et Claude Code

Les agents de programmation comme Codex d’OpenAI ou Claude Code d’Anthropic lisent automatiquement des fichiers d’instructions placés dans le dossier où on les lance. C’est ce qui les rend pratiques : on leur explique une fois les règles d’un projet, et ils s’y conforment. C’est aussi devenu une porte d’entrée pour les attaquants. Dans un rapport publié le 22 octobre 2026, la société de cybersécurité Forever Security décrit une attaque découverte sur la machine d’un client, où un simple fichier texte déposé dans le dossier Téléchargements a tenté de faire installer un logiciel malveillant par un agent d’IA.

Que sont les fichiers AGENTS.md et CLAUDE.md ?

Les fichiers AGENTS.md et CLAUDE.md sont de simples documents au format Markdown, placés à la racine d’un projet. Ils contiennent des consignes destinées aux agents de programmation : comment lancer les tests, quelles conventions de code respecter, quelles commandes éviter. Codex et d’autres agents lisent AGENTS.md, Claude Code lit CLAUDE.md, et ces consignes orientent ensuite tout leur travail.

Le problème est que ces fichiers sont traités comme des instructions dignes de confiance. Un agent qui ouvre un dossier contenant un tel fichier le lit et suit ce qu’il demande, sans vérifier qui l’a écrit. Pour un attaquant, c’est l’équivalent d’une injection de requête, cette technique qui consiste à glisser des ordres cachés dans un contenu lu par une IA, mais sous une forme particulièrement efficace, puisque le fichier est conçu pour être obéi.

Comment fonctionne l’attaque

Forever Security a repéré l’attaque lorsqu’un agent, sur la machine d’un client, a tenté d’installer function-color, un paquet npm connu pour être malveillant. npm est le principal catalogue de bibliothèques pour le langage JavaScript. En remontant la piste, les chercheurs Gal Weizman et Omer Samet ont trouvé l’origine de cette instruction : un fichier AGENTS.md présent dans le dossier Téléchargements de l’utilisateur, déguisé en notes d’ingénierie, et qui était aussi le dossier de travail de l’agent.

L’attaque repose sur deux constats, selon Forever :

• les agents font confiance aux fichiers d’instructions du dossier où ils sont lancés ;
• les sites web peuvent déposer des fichiers dans le dossier Téléchargements sans que l’utilisateur ait à cliquer sur quoi que ce soit.

Il suffit donc qu’un utilisateur visite une page piégée, puis lance un jour son agent de programmation dans son dossier Téléchargements, une habitude plus courante qu’on ne le pense. D’après la télémétrie de Forever, environ la moitié de ses clients exécutent un agent de code dans ce dossier, et environ un quart des sessions d’agents ouvrent un véritable navigateur web.

Pourquoi le dossier Téléchargements est si exposé

Le dossier Téléchargements est un lieu de passage : on y décompresse une archive, on y récupère un projet partagé par un collègue, on y dépose un document à analyser. Il est donc naturel d’y lancer un agent pour lui demander d’examiner un fichier ou de tester un programme récupéré en ligne. Mais c’est aussi le dossier où s’accumulent des fichiers venus de sources très diverses, rarement vérifiés, et parfois enregistrés automatiquement par le navigateur. Un fichier d’instructions malveillant peut y dormir longtemps sans attirer l’attention, jusqu’au jour où un agent est lancé à cet endroit.

Des résultats inquiétants pour Codex et Claude Code

Les chercheurs ont reproduit l’attaque dans une machine virtuelle isolée, avec le vrai fichier de l’attaquant.

Pour Codex, le fichier demandait d’ajouter un serveur MCP, un module qui étend les capacités de l’agent, dans le fichier de configuration global ~/.codex/config.toml. Ce serveur installait le paquet malveillant. Comme la configuration est globale, le module piégé se recharge ensuite dans toutes les sessions de Codex, quel que soit le dossier.

Pour Claude Code, les chercheurs ont rédigé leur propre fichier CLAUDE.md, qui demandait de modifier l’adresse du serveur avec lequel l’agent communique. Dans environ la moitié des cas, Claude Code a écrit ce réglage, ce qui a exposé son jeton d’authentification, une clé qui permet d’accéder au compte. Le serveur pirate pouvait aussi renvoyer des commandes conduisant à l’exécution de code, ce qui s’est produit dans environ un cas sur cinq.

Comment se protéger dès maintenant

Forever Security formule plusieurs recommandations simples, à appliquer sans attendre :

• ne jamais lancer un agent de programmation dans le dossier Téléchargements, ni dans un dossier qui contient des fichiers dont on ignore la provenance ;
• lire tout fichier AGENTS.md ou CLAUDE.md que l’on n’a pas écrit soi-même avant de laisser un agent travailler dans ce dossier, notamment après le clonage d’un projet trouvé en ligne ;
• vérifier le fichier ~/.codex/config.toml à la recherche de blocs de serveurs MCP inattendus ou d’adresses de serveur modifiées ;
• contrôler les fichiers .claude/settings.json des projets, pour repérer une adresse de serveur inconnue ;
• garder les demandes d’approbation et le bac à sable activés, ces garde-fous qui obligent l’agent à demander la permission avant d’exécuter une commande sensible ;
• changer ses identifiants en cas de doute, car un jeton qui a fuité donne un accès actif au compte ;
• considérer toute installation de function-color comme le signe d’une compromission.

Ces réflexes rejoignent ceux qu’imposait déjà le piratage d’OpenCode, qui avait conduit au vol de clés d’API en octobre 2026 : les outils de développement dopés à l’IA concentrent des accès précieux, et deviennent des cibles à part entière.

Un nouveau type de menace pour les développeurs

L’attaque illustre un changement profond. Pendant des décennies, un fichier texte était considéré comme inoffensif : seuls les programmes exécutables représentaient un danger. Avec les agents d’IA, un document en langage naturel peut devenir une suite d’ordres exécutés automatiquement. Forever résume le problème par une formule : le Markdown est devenu le nouvel exécutable.

Les éditeurs d’agents disposent pourtant de leviers. Ils pourraient signaler à l’utilisateur la présence d’un fichier d’instructions inconnu avant de le suivre, refuser par défaut de lire les consignes d’un dossier comme Téléchargements, ou exiger une confirmation avant toute modification de la configuration globale. Le choix d’un agent passe aussi par ces protections, au même titre que ses performances, un critère à ajouter à notre comparatif des agents de code Claude Code, Gemini CLI et Codex CLI.

En attendant, la règle la plus efficace reste la plus simple : un agent de programmation ne devrait travailler que dans un dossier de projet propre, dont on connaît le contenu. À mesure que ces outils gagnent en autonomie, la discipline de l’utilisateur devient la première ligne de défense.