Malicious File in Downloads Folder Tries to Trick AI Coding Agent Into Installing Malware

Hijacking des agents IA via des fichiers de configuration malveillants

Des chercheurs ont identifié une méthode d’attaque exploitant la confiance accordée par les agents de codage IA (comme OpenAI Codex ou Claude Code) aux fichiers d’instructions locaux (ex: AGENTS.md ou CLAUDE.md). En déposant un fichier malveillant dans le dossier “Téléchargements”, un attaquant peut manipuler l’agent pour qu’il installe des paquets malveillants ou modifie ses configurations pour intercepter des jetons d’accès.

Points clés :

• Vecteur d’attaque : Utilisation de fichiers de configuration détournés (AGENTS.md, CLAUDE.md) pour injecter des commandes système ou rediriger le trafic API de l’agent.
• Technique de livraison : Les navigateurs peuvent enregistrer silencieusement des fichiers dans le dossier “Téléchargements” de l’utilisateur, permettant à une page web malveillante de déployer le fichier sans interaction humaine.
• Impact : Exécution de code malveillant, vol de jetons d’authentification (session hijacking) et persistance via la modification des fichiers de configuration globaux de l’agent.
• Campagne identifiée : Utilisation du paquet NPM malveillant function-color (campagne MALFEX).

Vulnérabilités :

• Aucune CVE spécifique n’est associée, car il s’agit d’un problème de conception lié à la confiance implicite des agents envers les fichiers de configuration locaux, et non d’un bug logiciel classique.

Recommandations :

• Isolation : Ne jamais lancer d’agent IA dans le dossier “Téléchargements” (Downloads).
• Vigilance : Inspecter systématiquement tout fichier d’instructions (AGENTS.md, CLAUDE.md) présent dans un répertoire avant de lancer l’agent.
• Audit de configuration : Vérifier régulièrement les fichiers de configuration globaux (ex: ~/.codex/config.toml) et locaux (.claude/settings.json) pour détecter tout ajout de serveur ou modification d’URL API non autorisée.
• Sécurité active : Maintenir les sandboxes et les invites d’approbation activées. En cas de compromission, considérer le jeton d’authentification comme compromis et le révoquer immédiatement.

Source