The Pulse
Forever Security mostra un attacco tramite AGENTS.md contro gli agenti di coding
Forever Security riferisce che un file di istruzioni malevole nella cartella Downloads di un cliente ha indotto un agente di coding a tentare di installare un pacchetto npm dannoso. I suoi test hanno mostrato come file simili potrebbero mod
AI.info Team · Scritto con l’IA · verificato ·
Forever Security afferma che OpenAI e Anthropic non hanno nulla da correggere, pur mostrando con i suoi ricercatori come un file di istruzioni in testo semplice possa indirizzare i loro agenti di coding verso malware o esporre un token di accesso. L’azienda dice di aver trovato un agente sul computer di un cliente mentre tentava di installare un pacchetto npm malevolo dopo aver letto un file AGENTS.md nella cartella Downloads del cliente.
Forever Security ha pubblicato i risultati il 22 ottobre 2026. I ricercatori affermano di aver fermato il tentativo di installazione prima che il codice venisse eseguito, ma di non aver potuto stabilire come il file fosse arrivato sul computer del cliente. I loro test mostrano che cosa potrebbe accadere se un utente avviasse in seguito un agente nella stessa cartella.
Un file di istruzioni, non un eseguibile
I file AGENTS.md sono documenti in testo semplice che forniscono agli agenti di coding istruzioni relative a un progetto, per esempio quali strumenti usare e come eseguire i test. Gli agenti possono leggere le istruzioni applicabili dalla cartella in cui vengono avviati e poi agire in base a esse con i permessi di cui dispongono. Un file che da solo non viene eseguito diventa così una via per impartire comandi, installare pacchetti o modificare configurazioni.
Nel suo rapporto, Forever Security sostiene che gli agenti abbiano seguito, come previsto, le istruzioni presenti nella cartella di lavoro, mentre il rischio derivava dal fatto che quella cartella conteneva istruzioni che l’utente non vi aveva collocato.
La configurazione di Codex ha ampliato il rischio
Nel test su OpenAI Codex, Forever Security ha usato il file di istruzioni effettivamente recuperato dal computer del cliente, all’interno di una macchina virtuale isolata. Il file presentava un pacchetto malevolo, function-color, come un normale strumento di progetto e indicava a Codex di aggiungere una voce relativa a un server alla configurazione valida per l’intero computer. Secondo Forever, il comando di avvio del server installava poi il pacchetto; nei suoi test, Codex ha eseguito il malware in oltre il 90% dei tentativi.
La modifica alla configurazione era importante perché non si limitava alla cartella Downloads: secondo Forever, il file modificato poteva influire sulle successive sessioni di Codex avviate altrove sullo stesso computer. BleepingComputer ha testato separatamente la pagina di download dimostrativa e ha confermato che scaricava un file AGENTS.md contenente testo innocuo. Quel test nel browser ha dimostrato il percorso dal download alle istruzioni, non l’esecuzione del pacchetto malevolo né un risultato del 90% per il payload in Codex.
Claude Code offriva una via diversa
Forever Security ha testato anche un attacco correlato usando un file CLAUDE.md appositamente preparato. Le istruzioni hanno indotto Claude Code a modificare un’impostazione del progetto che reindirizzava il suo traffico API verso un server controllato dai ricercatori. Questo ha esposto il token OAuth dell’agente; i ricercatori affermano che il loro server poteva quindi rispondere come se fosse il modello e inviare all’agente chiamate agli strumenti.
Forever riferisce che questa tecnica contro Claude Code ha portato all’esecuzione di codice in circa la metà dei suoi test. Il risultato proviene da un test realizzato dai ricercatori, non dall’incidente del cliente che per primo ha rivelato la presenza del file nella cartella Downloads. BleepingComputer ha riferito che Forever non è riuscita a stabilire come fosse arrivato quel file originale.
L’agente deve anche essere avviato nella cartella Downloads
Una pagina web può avviare il download di un file chiamato AGENTS.md nella cartella Downloads predefinita del browser, ma il file non prende il controllo di un agente per il solo fatto di arrivare lì. L’utente deve avviare un agente di coding in quella cartella perché legga il file come istruzioni. Nei suoi test, BleepingComputer ha riscontrato che Chrome, Edge e Firefox salvavano lì i download per impostazione predefinita, pur mostrando le notifiche di download; nel test della testata, Brave chiedeva un’autorizzazione.
Il ricercatore di Forever Gal Weizman ha detto a BleepingComputer che i clienti usano comunemente gli agenti per organizzare la cartella Downloads o elaborare i file appena scaricati. La testata ha riferito che, secondo i dati interni di Forever, centinaia di agenti dei clienti erano stati avviati da quella cartella, tra cui oltre 1.300 sessioni di Claude Code.
Forever e BleepingComputer indicano una misura pratica di difesa: avviare un agente dalla cartella radice del progetto specifico su cui deve lavorare, non da Downloads o da una cartella superiore che comprende molti file. Esaminare i file AGENTS.md e CLAUDE.md sconosciuti e mantenere attive le richieste di approvazione e le protezioni sandbox. L’agente del cliente coinvolto nell’incidente originale è stato fermato prima che function-color venisse eseguito; l’origine del file di istruzioni è rimasta sconosciuta.