Pesquisadores da Forever Security descobriram, em outubro de 2026, que agentes de programação com IA — incluindo o Claude Code da Anthropic e o Codex da OpenAI — podem ser sequestrados por um arquivo AGENTS.md plantado na pasta Downloads do computador. O ataque via AGENTS.md explora a forma como esses agentes leem arquivos de instrução do diretório de trabalho sem verificar a origem do arquivo.

Como o ataque via AGENTS.md funciona

O ataque começa quando o usuário visita um site malicioso. Por padrão, Chrome, Edge e Firefox salvam qualquer download na pasta ~/Downloads sem pedir confirmação de local. Um site pode gravar um arquivo chamado AGENTS.md nessa pasta com qualquer conteúdo de instrução, sem clique adicional do usuário.

Se o desenvolvedor iniciar o Codex ou o Claude Code com ~/Downloads como diretório de trabalho, o agente encontra o arquivo e o interpreta como instruções legítimas. Nos testes da Forever Security:

  • Codex: seguiu as instruções do arquivo malicioso em mais de 90% das tentativas. Na demonstração, o arquivo mandava instalar o pacote npm function-color, identificado como malware. Uma vez instalado, o pacote persiste na configuração global do Codex e é carregado em todas as sessões futuras, em qualquer pasta.
  • Claude Code: um arquivo CLAUDE.md adaptado redirecionou o tráfego da API para um servidor controlado pelos pesquisadores, expondo o token OAuth da sessão. Isso equivale a uma tomada de conta. A taxa de sucesso ficou em torno de 50%.

A empresa registrou que mais de 1.300 sessões do Claude Code foram iniciadas na pasta Downloads de clientes reais, confirmando que o cenário não é hipotético.

Veja também: Sandbox escape em agentes de IA: Cursor, Codex e Gemini CLI

Por que isso importa para o seu negócio

Se sua equipe usa Claude Code, Codex, Cursor CLI ou agentes similares no dia a dia, o ataque via AGENTS.md cria um vetor direto ao ambiente de desenvolvimento. Um atacante que planta o arquivo pode:

  1. Instalar dependências maliciosas no projeto, comprometendo o código enviado à produção.
  2. Vazar o token OAuth do desenvolvedor, assumindo a conta e acessando repositórios privados e segredos de API.
  3. Persistir a infecção na configuração global do agente, afetando todos os projetos futuros na máquina.

Nem a Anthropic nem a OpenAI lançaram correção para o problema. De acordo com a BleepingComputer, o agente fez exatamente o que foi projetado para fazer. A responsabilidade de prevenção recai sobre o usuário e o time de segurança da empresa.

O que fazer agora

Os pesquisadores recomendam:

  • Nunca use ~/Downloads como diretório de trabalho de um agente de IA. Inicie o agente sempre na raiz do projeto específico.
  • Antes de cada sessão, verifique se há arquivos AGENTS.md ou CLAUDE.md que você não criou.
  • Mantenha os prompts de aprovação ativados e as proteções de sandbox em funcionamento.
  • Teste código de fontes desconhecidas em ambiente isolado.

O navegador Brave é o único entre os principais que pede confirmação antes de salvar um download, bloqueando a etapa inicial do ataque. Nos demais, a configuração padrão facilita o ataque.

Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.

Fonte: BleepingComputer