Arquivos maliciosos agentes de IA já foram usados em ataques reais para roubar credenciais, executar pacotes npm indesejados e redirecionar tráfego de API para servidores de atacantes. A técnica foi documentada pela empresa de segurança Forever Security e afeta ferramentas como Claude Code e OpenAI Codex.

Como os arquivos maliciosos agentes de IA funcionam na prática

O vetor central são os arquivos de instrução que agentes de programação com IA leem automaticamente ao iniciar uma sessão. No Claude Code, o arquivo é o CLAUDE.md. No Codex, é o AGENTS.md. O problema começa quando um desses arquivos chega à máquina sem vir de um repositório legítimo.

Em uma página web, é possível forçar o download de um arquivo para a pasta de downloads sem aprovação explícita. Se o agente for iniciado nesse diretório, ele lê o arquivo como instruções legítimas, abrindo caminho para prompt injection. A Forever Security identificou esse vetor a partir de um incidente real: a empresa bloqueou a instalação do pacote npm malicioso function-color, cujas instruções vinham de um AGENTS.md na pasta de downloads, não de um repositório. O pacote estava ligado a uma campanha documentada pela Checkmarx.

Os testes mostraram resultados preocupantes. Com o Codex, o arquivo malicioso levou o agente a alterar a configuração global (~/.codex/config.toml) e a instalar o pacote, mantendo a mudança em sessões posteriores. O Codex executou o malware em mais de 90% das tentativas, resultado confirmado em máquina virtual isolada. No Claude Code, a variante com CLAUDE.md redirecionava as comunicações da API para um servidor dos pesquisadores, expondo o token OAuth e permitindo ao servidor enviar comandos ao agente. A Forever Security avaliou esse ataque como mais difícil de concretizar do que no Codex, mas igualmente perigoso para quem usa o Claude Code em ambientes de produção.

A telemetria revelou um dado adicional: cerca de metade dos clientes observados rodava agentes na pasta de downloads, e um quarto das sessões envolvia um navegador ativo no mesmo ambiente.

Pesquisadores da Mitiga identificaram uma técnica similar, chamada "PromptLogger", que usa esses arquivos de instrução para exfiltrar prompts, variáveis de ambiente e credenciais sem deixar binário malicioso em disco. O ataque não injeta código em outros processos e não usa mecanismos clássicos de persistência, o que faz com que passe por ferramentas de EDR e monitoramento convencionais sem disparar alertas.

Por que isso importa para o seu negócio

Não é preciso trabalhar com segurança ou desenvolvimento de software para ser afetado. Qualquer equipe que use agentes de programação com IA, ferramentas de automação ou assistentes com acesso ao sistema de arquivos pode ser alvo dos arquivos maliciosos agentes de IA. Uma auditoria da Snyk em marketplaces de skills de IA encontrou que 1.467 de 3.984 skills verificadas (36,82%) apresentavam falhas de segurança, e cinco das sete mais baixadas estavam confirmadas como malware.

Os agentes de IA ganharam adoção rápida, mas a maioria das equipes ainda trata os arquivos de instrução como simples documentação, sem o rigor aplicado ao código-fonte. Arquivos como .cursorrules, .clinerules, mcp.json e hooks.json também foram encontrados com instruções maliciosas em repositórios públicos, segundo reportagem da CSO Online.

A Forever Security recomenda: não executar agentes na pasta de downloads; verificar a existência de AGENTS.md ou CLAUDE.md de origem desconhecida; monitorar alterações em configurações de servidores MCP, endereços de API e encaminhamento de tráfego; e substituir tokens de autenticação se uma configuração suspeita for encontrada. O Claude Code já foi vetor de ataque em ambiente industrial em 2026, reforçando a necessidade de manter esses controles ativos. Proteger-se de arquivos maliciosos agentes de IA começa por não rodar esses agentes em pastas não controladas.

Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.

Fontes: