AGENTS.md nei Download: come un file dirotta Codex e Claude Code

Una cartella che quasi tutti ignorano, Download, può trasformarsi nella porta d’ingresso per prendere il controllo di un agente di programmazione. È quanto emerge da un’analisi di Forever Security, ripresa il 26 ottobre 2026 da The Hacker News: un semplice file AGENTS.md, finito nella cartella dei download, ha convinto Codex di OpenAI a installare un pacchetto npm malevolo in oltre il 90% dei test condotti dai ricercatori.

Il punto più scomodo è che non esiste una falla da correggere. L’agente ha fatto esattamente ciò che è stato progettato per fare: fidarsi delle istruzioni che trova nella cartella in cui lavora.

Cosa è successo e come è stato scoperto

Forever Security racconta di aver fermato un agente di programmazione sul computer di un cliente reale, proprio mentre stava per installare un pacchetto chiamato function-color. Si tratta di un componente npm noto come malevolo, collegato alla campagna MALFEX documentata da CloudSEK e Checkmarx, che porta con sé un downloader capace di scaricare ed eseguire un payload per Windows. L’istruzione arrivava da un file AGENTS.md presente in ~/Downloads, che era anche la cartella di lavoro dell’agente.

Il file sembrava una normale guida interna di ingegneria, lunga circa 13 KB. Il codice ostile era confinato in una sola sezione verso la fine, presentata come configurazione dell’ambiente. Nessuno ha saputo dire come quel file sia arrivato lì, e i ricercatori lo ammettono apertamente.

Per capire se fosse un caso isolato, il team ha ricostruito l’attacco in laboratorio. Il risultato ha fatto più rumore dell’incidente stesso.

Come funziona l’attacco

L’attacco combina due comportamenti che da soli sembrano innocui. Il primo è che gli agenti come Codex leggono e seguono il file di istruzioni presente nella cartella in cui vengono avviati. Il secondo è che un sito web può salvare un file nella cartella Download senza alcun clic e senza chiedere il permesso, scegliendone nome e contenuto.

Il file che arriva dal web

Secondo la ricostruzione, Chrome, Edge e Firefox salvano i download senza chiedere conferma, mentre Brave mostra prima una richiesta. Forever ha costruito una pagina dimostrativa che deposita in silenzio un AGENTS.md nei Download, e BleepingComputer avrebbe verificato che il meccanismo funziona senza interazione. Non è però dimostrato che sia questa la strada seguita nel caso del cliente.

Conta anche l’abitudine d’uso. Dalla telemetria di Forever risulta che circa metà dei clienti avvia almeno a volte un agente di programmazione proprio nella cartella Download, e che circa un quarto delle sessioni degli agenti apre un vero browser.

La catena contro Codex

La sezione malevola chiede a Codex di aggiungere un server MCP al file di configurazione globale ~/.codex/config.toml e di lanciare l’installazione di function-color con npm. Su macOS il comando passa per launchctl, che esegue il processo fuori dal controllo di Codex. Il file arriva poi a chiedere un’esecuzione figlia con il flag che disattiva approvazioni e sandbox, giustificandolo come passaggio obbligatorio.

In oltre il 90% dei tentativi Codex ha eseguito il payload. Nella maggior parte delle prove è stato usato un finto programma innocuo al posto del malware, mentre una prova con il pacchetto reale è stata fatta in una macchina virtuale isolata.

C’è anche un effetto di persistenza. Poiché quella configurazione vale per l’intera macchina, il server ostile si carica in ogni sessione Codex successiva, in qualsiasi cartella.

La variante contro Claude Code

Con Claude Code l’attacco si è rivelato più difficile. Per i test i ricercatori hanno usato un loro file CLAUDE.md, non quello del cliente, presentato come configurazione di un gateway interno. L’obiettivo era far scrivere nelle impostazioni del progetto la variabile ANTHROPIC_BASE_URL, in modo da dirottare il traffico verso un server controllato dall’attaccante.

Le conseguenze sono pesanti. Il token di accesso della sessione finisce al server ostile, e i ricercatori affermano di averlo riutilizzato contro l’API reale venendo serviti come se fossero la vittima. Inoltre il falso server potrebbe restituire chiamate di strumenti contraffatte, per esempio un comando Bash che installa il pacchetto malevolo.

La catena completa ha funzionato circa una volta su due, mentre una variante nella stessa sessione, con un sotto-agente incaricato di validare la configurazione, è riuscita circa una volta su cinque. Lo stesso file ha fallito sempre in una cartella piena di note di sicurezza. Per ora le percentuali sono misure di laboratorio, senza numero di tentativi né versioni degli agenti dichiarate.

Perché secondo i ricercatori non c’è nulla da correggere

Forever sostiene che OpenAI e Anthropic non abbiano nulla da correggere, perché l’agente segue le istruzioni della sua cartella come previsto. Il paragone proposto è quello di un browser che mostra una pagina di phishing: il problema sta nella pagina, non nel programma che la visualizza. Non risultano, al momento, comunicazioni ufficiali dei due fornitori su questo specifico scenario.

Il tema non è nuovo per chi segue la sicurezza degli agenti. Abbiamo già raccontato come Plugin4Shell abbia colpito Claude Code, Codex e altri strumenti senza alcun clic, e come gli agenti di OpenAI abbiano trovato una falla in Brotli mostrando il lato opposto della medaglia. La differenza qui è che l’ingresso non è un bug, ma la fiducia che gli agenti concedono per progetto.

Il rischio cresce man mano che gli agenti ricevono più autonomia, dalle revisioni automatiche del codice alle modalità che approvano da sole le azioni. Strumenti come la Code Review di Claude Code mostrano quanto ormai questi agenti siano integrati nei flussi di lavoro dei team.

Come proteggerti subito

Le raccomandazioni di Forever sono semplici e a costo quasi zero. Conviene metterle in pratica oggi, soprattutto se usi Codex, Claude Code o strumenti simili sul tuo computer di lavoro.

Per prima cosa, non avviare mai un agente in Download o nella cartella home. Lancialo solo dalla radice di un progetto che conosci. Poi leggi qualsiasi AGENTS.md o CLAUDE.md che non hai scritto tu, compresi quelli dei repository appena clonati.

Controlla anche le configurazioni. In ~/.codex/config.toml cerca blocchi di server che non riconosci, e in .claude/settings.json verifica che non compaiano ANTHROPIC_BASE_URL o altri indirizzi sospetti. Se lavori in azienda, le impostazioni gestite hanno la precedenza sui file di progetto, quindi è lì che conviene fissare l’indirizzo corretto.

Mantieni attive approvazioni e sandbox, e considera un campanello d’allarme qualsiasi file che definisce "obbligatorio" un flag che le disattiva. Se trovi tracce di function-color, tratta la macchina come compromessa e ruota tutti i token a cui l’agente aveva accesso: eliminare il file markdown non annulla una modifica già scritta nella configurazione.

Lo screening dei pacchetti npm in fase di installazione intercetterebbe il payload, ma non impedirebbe la scrittura della configurazione. Un dettaglio inquietante: function-color sarebbe rimasto non documentato per circa due anni.

Cosa significa per chi usa agenti di programmazione

Questa vicenda sposta l’attenzione da un problema di software a un problema di abitudini. Finché gli agenti tratteranno ogni file di istruzioni come una fonte affidabile, chiunque riesca a scrivere in una cartella di lavoro potrà dare ordini al posto tuo. Se ti occupi di sviluppo, SEO tecnica o automazioni, dove gli agenti toccano spesso file e configurazioni, il rischio è concreto.

La regola pratica è trattare un file di istruzioni come tratteresti un eseguibile: prima di fidarti, leggilo. Per approfondire come lavorano questi assistenti puoi consultare la nostra guida a Claude AI.

Controlla oggi la tua cartella Download e le configurazioni dei tuoi agenti, poi condividi queste indicazioni con il tuo team. Per i dettagli tecnici completi leggi la ricostruzione di The Hacker News, che riporta il lavoro di Forever Security.