Des chercheurs en cybersécurité ont découvert que des agents de codage autonomes, tels qu’OpenAI Codex et Anthropic Claude Code, peuvent être manipulés à leur insu via un simple fichier déposé dans le dossier de téléchargements. En exploitant la façon dont ces assistants lisent leurs instructions de travail, des acteurs malveillants réussissent à leur faire installer des paquets piratés ou à siphonner leurs jetons d’accès. La menace est d’autant plus sournoise qu’elle ne nécessite l’exploitation d’aucune faille logicielle classique dans les outils concernés.
Une méthode d’injection basée sur le comportement des navigateurs
L’attaque s’appuie sur une caractéristique spécifique du dossier Téléchargements. Dans la majorité des configurations, des navigateurs web comme Google Chrome, Microsoft Edge ou Mozilla Firefox enregistrent les fichiers téléchargés à cet endroit précis sans solliciter d’autorisation préalable ni demander d’interaction. Un site web piégé peut donc déposer automatiquement un fichier au format Markdown, tel qu’un document nommé AGENTS.md.
Les systèmes d’exploitation ne bloquent pas ces éléments, car le langage Markdown est considéré comme du texte brut totalement inoffensif et non exécutable. Toutefois, lorsqu’un développeur lance son agent de codage en utilisant le répertoire des téléchargements comme dossier de travail, l’intelligence artificielle analyse immédiatement ce fichier pour y lire ses consignes. L’agent interprète alors les directives textuelles comme des ordres légitimes et exécute les commandes prescrites sur la machine hôte.
Codex et Claude Code ciblés par des stratégies différentes
Les chercheurs de Forever Security ont reproduit l’attaque sur les deux assistants majeurs pour évaluer l’étendue des risques. Dans le cas d’OpenAI Codex, un fichier de 13 Ko simulant un guide d’ingénierie a permis de modifier le fichier de configuration global ~/.codex/config.toml. L’agent a ainsi ajouté un serveur distant contrôlé par l’attaquant et procédé à l’installation d’un paquet npm malveillant nommé « function-color ». Lors de ces tests en environnement isolé, la méthode a affiché un taux de réussite supérieur à 90 %, compromettant l’ensemble des sessions ultérieures.
Face à Claude Code, les attaquants ont dû ajuster leur approche pour contourner la résistance de l’outil. En injectant la variable d’environnement ANTHROPIC_BASE_URL via un fichier CLAUDE.md, le trafic API de l’assistant a été redirigé vers un serveur tiers. Ce détournement permet d’intercepter le jeton d’authentification OAuth transmis dans les en-têtes de requête, tout en renvoyant de fausses réponses qui incitent le client local à exécuter des commandes arbitraires. Cette variante a fonctionné dans environ la moitié des tentatives menées par les spécialistes.
Les bonnes pratiques pour se protéger sans patch éditeur
Pour OpenAI comme pour Anthropic, cette situation ne relève pas d’une vulnérabilité interne à corriger, puisque l’agent exécute scrupuleusement la tâche pour laquelle il a été conçu. La responsabilité de la sécurité repose sur les habitudes de travail et la gestion des répertoires d’exécution par les utilisateurs ou les entreprises.
Pour prévenir ces risques de détournement d’instructions, plusieurs règles d’hygiène informatique doivent être appliquées :
- Ne jamais exécuter un agent d’IA à partir du dossier général de téléchargements (~/Downloads).
- Démarrer toujours les sessions de travail uniquement au sein des répertoires dédiés à des projets spécifiques et contrôlés.
- Garder systématiquement activés les mécanismes de bac à sable (sandbox) et les demandes de validation manuelle avant toute commande critique.