Um arquivo de instruções malicioso guardado na pasta Downloads de um desenvolvedor tentou fazer o agente de programação com IA dele instalar um pacote npm (gerenciador de pacotes do JavaScript) já conhecido por ser malicioso, afirmou a empresa de segurança Forever Security em um relatório publicado na semana passada.
A empresa flagrou a tentativa em uma máquina de um cliente real e interrompeu o agente antes que qualquer código fosse executado. Não foi possível determinar como o arquivo chegou à pasta.
O arquivo era o AGENTS.md, um arquivo de instruções em texto simples que um agente de programação, como o Codex, da OpenAI, lê ao iniciar em uma pasta e segue como orientações.
Ele estava disfarçado de notas comuns de engenharia de software. Uma seção instruía o agente a adicionar um servidor à própria configuração e a instalar um pacote chamado function-color, do npm.
Esse pacote faz parte de uma campanha de malware que outros pesquisadores já documentaram separadamente: o function-color puxa um downloader chamado function-flag, que baixa e executa uma carga maliciosa para Windows. Pesquisadores da CloudSEK e da Checkmarx, que analisaram a campanha, a batizaram de MALFEX.
Duas coisas, inofensivas cada uma isoladamente, tornam isso possível, segundo a Forever, afirmou. Um agente é projetado para confiar e obedecer ao arquivo de instruções da pasta que abre. E uma página da web pode salvar um arquivo na pasta Downloads por conta própria, sem clique ou pedido de permissão, escolhendo o nome e o conteúdo. Juntas, essas duas características permitem que uma página da web deposite, em uma pasta em que o agente confia, um arquivo que ele tratará como ordens.
Os pesquisadores não estabeleceram que foi assim que o arquivo foi parar lá. Para testar se o caminho completo era possível, a empresa criou uma página de prova de conceito: ao acessá-la, um AGENTS.md é baixado silenciosamente para a pasta Downloads. Não se sabe se um invasor real usou essa rota contra o cliente.
Em seguida, a empresa reproduziu o ataque em dois agentes de programação para mostrar que o método não era específico de um único produto. Contra o Codex, executou o arquivo real do invasor em uma máquina virtual isolada. O arquivo, apresentado como uma configuração rotineira de projeto, instruiu o Codex a registrar um servidor em ~/.codex/config.toml e a executar um comando que instalava o pacote.
Como esse arquivo de configuração vale para todas as sessões do Codex na máquina, a mudança carregaria o servidor do invasor em qualquer pasta depois, e não apenas em Downloads. O Codex executou o malware em mais de 90% das tentativas, segundo a Forever.
No caso do Claude Code, o ataque que funcionou foi diferente e teve sucesso com menos frequência. Um arquivo CLAUDE.md plantado, apresentado como configuração interna de gateway, tentou fazer o Claude gravar uma variável ANTHROPIC_BASE_URL, que define o endereço base da API (interface de programação de aplicações), em um arquivo de configurações do projeto. Com isso, o tráfego de API seria direcionado para um servidor controlado pela Forever. Só essa alteração vaza o token de login da sessão, o que por si só já configura a tomada de conta, e permite que o servidor responda como se fosse o modelo e entregue comandos que o agente executa.
O Claude precisa de uma pessoa para aprovar uma gravação desse tipo e costuma recusar uma que pareça suspeita. Já o enquadramento longo, no estilo de documentação de engenharia, fez com que a gravação fosse aprovada cerca de metade das vezes, segundo os pesquisadores.
Na visão da Forever, não há nada a ser corrigido pela OpenAI ou pela Anthropic, porque um agente que segue o arquivo de instruções da pasta em que está apenas faz o que foi projetado para fazer. A empresa comparou a situação a um navegador exibindo uma página de phishing: o navegador funcionou como previsto, e a falha está na página. “Não há nada aqui para a OpenAI ou a Anthropic corrigirem”, disse a Forever.
O que fazer
O conselho da Forever é prático e não depende de nenhum produto:
- Não inicie o Codex, o Claude Code nem qualquer outro agente em ~/Downloads. É a única pasta na qual a web pode escrever por conta própria.
- Procure arquivos de instruções que você não escreveu. Um AGENTS.md ou CLAUDE.md avulso, em Downloads ou em um repositório que você acabou de clonar, é o ataque inteiro. Leia o arquivo antes de deixar um agente se aproximar dele.
- Verifique a configuração do próprio agente. Em ~/.codex/config.toml, observe se há um bloco de servidor ou uma URL base alterada que você não adicionou. Em .claude/settings.json de um projeto, observe se há um ANTHROPIC_BASE_URL ou outro endereço (endpoint) de API que você não definiu.
- Mantenha ativados os avisos de aprovação e os ambientes isolados (sandbox), e desconfie de qualquer coisa que instrua o agente a desativá-los.
- Se encontrar um arquivo plantado, presuma que o token de login vazou e troque-o. Um token roubado é uma sessão ativa, não apenas uma requisição interceptada.
Em seus próprios dados de telemetria, a Forever afirmou que cerca de metade de seus clientes executa um agente de programação na pasta Downloads e que aproximadamente um quarto das sessões de agente abre um navegador.
Essas são as condições de que o ataque precisa: um agente é iniciado em um lugar onde a web pode escrever e, em muitos casos, o próprio agente faz a navegação, de modo que ninguém está acompanhando quando o arquivo chega.
