Un semplice file di testo lasciato nella cartella Download può trasformare un assistente di programmazione basato sull’intelligenza artificiale in un installatore di malware. La società di sicurezza Forever Security ha scoperto un file AGENTS.md malevolo nella cartella ~/Downloads di un cliente: le istruzioni contenute nel file hanno spinto l’agente Codex di OpenAI a tentare l’installazione di un pacchetto npm dannoso. I ricercatori hanno poi mostrato una tecnica simile contro Claude Code di Anthropic. Secondo l’azienda, il tentativo è stato bloccato prima che venisse eseguito codice.
Il file AGENTS.md trovato nella cartella Download
I file AGENTS.md e CLAUDE.md sono documenti in formato Markdown che contengono istruzioni specifiche per un progetto: quali strumenti usare, come eseguire i test, quali convenzioni seguire. Gli agenti di programmazione li leggono all’avvio nella cartella di lavoro e li seguono come indicazioni. Non sono programmi eseguibili, ma le istruzioni che contengono possono portare l’agente a lanciare comandi, installare pacchetti o modificare impostazioni con i permessi di cui dispone.
Nel caso descritto da Forever Security in un report pubblicato il 22 ottobre e ripreso da BleepingComputer e The Hacker News, il file era camuffato da normali linee guida di sviluppo. Una sezione verso la fine chiedeva a Codex di registrare un server nella propria configurazione e di installare il pacchetto npm function-color. Secondo The Hacker News, questo pacchetto fa parte di una campagna malware documentata da CloudSEK e Checkmarx con il nome MALFEX: scarica un secondo componente che a sua volta recupera ed esegue un payload per Windows. Non è stato possibile stabilire come il file sia arrivato sul computer.
Perché la cartella Download è un punto debole
Secondo i ricercatori, il rischio nasce dall’unione di due comportamenti previsti. Da una parte gli agenti si fidano del file di istruzioni presente nella cartella in cui vengono avviati. Dall’altra una pagina web può salvare un file nella cartella Download, scegliendone nome e contenuto. Forever Security ha realizzato una pagina dimostrativa che scarica un AGENTS.md all’insaputa dell’utente; BleepingComputer l’ha verificata e ha ottenuto un file con contenuto innocuo.
La testata precisa che Chrome, Edge e Firefox, con le impostazioni predefinite, salvano i download in quella cartella senza chiedere conferma, pur mostrando una notifica, mentre nei test con Brave è stata richiesta l’approvazione dell’utente. Perché l’attacco funzioni, la vittima deve poi avviare l’agente proprio nella cartella Download. Secondo i dati di Forever Security, circa la metà dei suoi clienti lo fa, e solo Claude Code ha avviato da quella posizione oltre 1.300 sessioni.
I test su Codex e Claude Code
Nei test controllati, Codex ha eseguito il payload in oltre il 90% dei tentativi. Il file modificava ~/.codex/config.toml, la configurazione valida per tutte le sessioni di Codex sul computer: la modifica resterebbe quindi attiva anche avviando l’agente in altre cartelle. Su Claude Code l’attacco ha avuto meno successo: un file CLAUDE.md costruito ad arte cercava di far scrivere nelle impostazioni del progetto un indirizzo API controllato dai ricercatori, esponendo così il token di accesso. Poiché Claude chiede conferma prima di una scrittura di questo tipo, il tentativo è riuscito in circa la metà dei casi.
Per Forever Security non c’è una falla che OpenAI o Anthropic possano correggere con una patch, perché l’agente fa ciò per cui è stato progettato. Il problema riguarda le circostanze: una cartella in cui il web può scrivere, trattata come se il contenuto fosse stato scelto dall’utente. È un tema già emerso nel dibattito sulla sicurezza degli agenti AI e sul rischio di agenti AI fuori controllo nelle aziende.
File AGENTS.md: come proteggersi
- Non avviare Codex, Claude Code o altri agenti nella cartella Download: OpenAI e Anthropic raccomandano di lanciarli nella cartella del progetto su cui devono lavorare.
- Leggere i file AGENTS.md o CLAUDE.md che non si sono scritti, anche in repository appena clonati, prima di lasciarli usare a un agente.
- Controllare la configurazione degli agenti: in
~/.codex/config.tomleventuali server non aggiunti da sé, nei file.claude/settings.jsonindirizzi API comeANTHROPIC_BASE_URLnon impostati da sé. - Lasciare attive le richieste di approvazione e la sandbox, diffidando di istruzioni che chiedono di disattivarle.
- Se si trova un file sospetto, considerare compromesso il token di accesso e rigenerarlo; testare il codice non affidabile in un ambiente isolato.
Fonti: Forever Security; BleepingComputer; The Hacker News.
