Claude Code e Codex obedecem a um arquivo que qualquer site pode deixar na sua pasta Downloads

Um arquivo de texto que um site salva na pasta Downloads agora pode dar ordens ao agente de programação com IA do seu computador. Pesquisadores da Forever Security encontraram, na máquina de um cliente, um arquivo AGENTS.md plantado — o arquivo de instruções em texto simples que ferramentas como o Codex, da OpenAI, leem ao iniciar — que mandava o agente instalar um malware conhecido. Se você já abriu o Claude Code ou o Codex na pasta Downloads para organizá-la ou trabalhar em um arquivo que acabou de baixar, tratou essa pasta com o mesmo nível de confiança que daria a um de seus próprios projetos.

O agente não fez nada de errado segundo as próprias regras. O AGENTS.md e seu equivalente no Claude, o CLAUDE.md, existem para que um projeto possa informar ao agente quais ferramentas usar e como executar os testes, e o agente foi desenvolvido para seguir essas instruções. O argumento dos pesquisadores é que Downloads é a única pasta que a web pode preencher por conta própria. “Não há nada aqui que a OpenAI ou a Anthropic possam corrigir”, escrevem. “Um agente que segue o AGENTS.md da pasta está fazendo exatamente aquilo para que foi desenvolvido.”

O arquivo encontrado era um documento de 13 KB, apresentado como um conjunto de diretrizes de engenharia, com o ataque escondido perto do fim e redigido no tom tranquilo de uma nota de configuração. Ele instruía o Codex a adicionar à configuração um servidor de “ferramentas do projeto” e instalar um pacote npm chamado function-color, que os pesquisadores descrevem como um malware de uma campanha que passou despercebida por cerca de dois anos. O software da Forever bloqueou a instalação antes que qualquer código fosse executado. Nos testes da equipe, feitos principalmente com um substituto inofensivo que apenas abria a calculadora, o Codex cumpriu as instruções do arquivo em mais de 90% das tentativas; o pacote real também foi executado uma vez dentro de uma máquina virtual isolada. A alteração fica no arquivo de configurações do Codex válido para todo o computador, então todas as sessões futuras do Codex carregam o servidor do invasor, em qualquer pasta.

Foi mais difícil enganar o Claude Code. A equipe escreveu seu próprio CLAUDE.md, capaz de convencer o Claude a direcionar o tráfego de sua API para um servidor controlado pelo invasor, disfarçado de gateway da empresa. Essa única configuração entrega o token de acesso do Claude, que os pesquisadores reutilizaram na API oficial da Anthropic para agir como se fossem a vítima, além de permitir que o servidor falso responda como se fosse o modelo, enviando comandos com o sandbox desativado. O Claude pede que uma pessoa aprove uma alteração de configuração desse tipo e muitas vezes se recusa, mas a gravação ainda foi concluída em cerca de metade das tentativas.

Colocar o arquivo em uma máquina é mais fácil do que parece. Por padrão, Chrome, Edge e Firefox salvam os downloads nessa pasta sem perguntar onde, e uma página pode escolher o nome e o conteúdo do arquivo. O BleepingComputer, que noticiou as descobertas, acessou a página de prova de conceito dos pesquisadores e viu um arquivo AGENTS.md inofensivo ser baixado. O Brave pediu permissão antes. Gal Weizman, pesquisador da Forever, disse ao veículo que centenas de clientes da empresa executam o Claude Code, o Codex ou o agente de linha de comando do Cursor a partir da pasta Downloads, e que só o Claude Code já havia iniciado mais de 1.300 sessões ali.

A pesquisa deixa algumas questões em aberto. A Forever não conseguiu determinar como o arquivo malicioso chegou ao computador do cliente, e o ataque ainda depende de alguém iniciar um agente naquela pasta depois do download. Chrome, Edge e Firefox exibem um aviso de download, que um usuário atento pode notar. A carga maliciosa real foi escrita para macOS. A Forever também vende software de monitoramento para agentes de IA, então a empresa tem interesse comercial no risco que descreve, e o relatório não traz respostas da OpenAI nem da Anthropic. As ferramentas envolvidas são vendidas no mundo todo, portanto a exposição é a mesma em todos os mercados onde desenvolvedores as utilizam.

A defesa depende, em grande parte, de bons hábitos. Nunca inicie um agente de programação na pasta Downloads; execute-o a partir da pasta do projeto em que ele deve trabalhar, como OpenAI e Anthropic já recomendam. Leia qualquer AGENTS.md ou CLAUDE.md que você não tenha escrito antes de deixar um agente acessá-lo, e mantenha ativados os pedidos de aprovação e os sandboxes. No arquivo de configurações do Codex, procure uma entrada de servidor que você não tenha adicionado. Nas configurações do Claude de um projeto, procure um endereço de API que você não tenha definido. Se encontrar algum, considere o token de acesso roubado e revogue-o; trate também como comprometida qualquer máquina em que o function-color tenha sido instalado — o npm já removeu o pacote.

A Forever publicou seu relatório em 22 de outubro, e a cobertura do BleepingComputer veio em 25 de outubro. Os pesquisadores afirmam que qualquer agente capaz de ler um arquivo de instruções e reescrever a própria configuração pode ser manipulado da mesma forma, o que faz do Codex e do Claude Code os dois primeiros nomes de uma lista mais longa. Antes, um download do navegador era inofensivo até alguém abri-lo. Agora, o arquivo se abre sozinho assim que um agente começa a ler a pasta.

Tags: OpenAI, Anthropic, agentes de IA, cibersegurança, Claude Code, Forever Security