Hackers podem tomar controle de Codex e Claude Code por meio de arquivos maliciosos na pasta Downloads
Hackers podem tomar controle de Codex e Claude Code por meio de arquivos maliciosos na pasta Downloads
Um simples arquivo de texto em ~/Downloads pode fazer agentes de IA de programação alterarem configurações, instalarem malware ou vazarem tokens de autorização, segundo a Forever Security.
Hackers podem assumir o controle do OpenAI Codex e do Claude Code da Anthropic usando arquivos maliciosos colocados na pasta Downloads do usuário.
Um arquivo de texto comum em ~/Downloads pode fazer com que agentes de IA alterem suas próprias configurações, instalem malware ou revelem tokens de autorização do usuário.
A história começou quando o sistema de proteção da Forever Security bloqueou a tentativa de um agente de IA de instalar o pacote npm function-color, que estava distribuindo malware.
Durante a investigação, os especialistas descobriram que o comando de instalação vinha de um arquivo AGENTS.md localizado em ~/Downloads no computador do cliente.
«Isso não é malware comum», escreveram os pesquisadores Gal Weizman e Omer Samet. «AGENTS.md é um arquivo em que um agente deve confiar por natureza e cujas instruções ele é obrigado a seguir. E ~/Downloads é a única pasta na qual um site pode colocar um arquivo sem um único clique e sem permissão do usuário. Juntas, essas características permitem que um site envie silenciosamente comandos que seu próprio agente executa em seguida. O Markdown está se tornando um novo código executável.»
Os pesquisadores reproduziram o ataque contra o OpenAI Codex e o Claude Code da Anthropic:
- O Codex seguiu instruções maliciosas em mais de 90% dos testes.
- O Claude Code foi vulnerável em cerca de 50% dos casos.
Segundo os pesquisadores, «não há nada para OpenAI e Anthropic corrigirem aqui». Um agente que executa instruções de um arquivo no diretório de trabalho age exatamente como foi projetado, assim como um navegador que exibe uma página de phishing está tecnicamente cumprindo sua função.
Eles recomendam não executar agentes de IA de desenvolvimento na pasta Downloads e revisar cuidadosamente qualquer arquivo AGENTS.md ou CLAUDE.md que o usuário não criou antes de conceder ao agente acesso a esse diretório.
Isso também se aplica a repositórios que um desenvolvedor acabou de copiar para o computador.
Se você já executou Codex ou Claude Code na pasta Downloads, deve verificar os arquivos de configuração em busca de servidores e links desconhecidos.
Por que isso importa
AnáliseAgentes de IA para programação costumam tratar arquivos Markdown de instruções locais como contexto confiável, então um arquivo silenciosamente colocado em Downloads pode transformar texto comum em um canal remoto para executar código malicioso e roubar tokens.
Debater na comunidade
Compartilhe suas dúvidas e insights com desenvolvedores
Relacionado no ecossistema
Guias práticos, terminologia essencial e skills de agentes
Uma linha no AGENTS.md fez Claude Code e Codex seguirem o código em vez da documentação obsoleta
Pesquisadores mostraram que agentes de codificação frequentemente seguem documentação obsoleta mesmo quando percebem contradições com o código real. Uma instrução no AGENTS.md aumentou o respeito ao código existente de 4% para 91%.
Projetos do Claude Code: como um único IA coordena uma equipe de agentes autônomos
Análise aprofundada dos Projetos do Claude Code: arquitetura Coordinator e Threads, branches paralelas, memória compartilhada MEMORY.md e gerenciamento de agentes na nuvem.
Parte II. Como trabalhar com Codex + otimização/segurança/equipe
Codex não é apenas autocompletar código no chat, mas um agente de engenharia completo: ele lê o repositório, planeja alterações, edita arquivos, executa testes, verifica seus próprios diffs e sabe trabalhar...
Claude Code
Agente de desenvolvimento oficial para terminal da Anthropic, que opera diretamente na linha de comando via Claude 3.7 Sonnet, com suporte nativo a Bash, Git, sistema de arquivos e ao protocolo MCP.
OpenAI mostra que agentes de IA isolados podem se comunicar sem rede via cache do processador
A OpenAI descreveu experimentos em que agentes de IA em ambientes isolados transmitiram informações por canais laterais, como o cache de CPU, o que questiona a ideia de isolamento completo por rede e arquivos.
improve-codebase-architecture
Official improve codebase architecture integration by @mattpocock for AI agent workflows.