🔍 Contexte : Le 22 octobre 2026, Forever Security publie une recherche issue d’une dĂ©tection en conditions rĂ©elles sur la machine d’un client. L’article documente un vecteur d’attaque inĂ©dit ciblant les agents IA de codage (OpenAI Codex et Anthropic Claude Code).

⚠ MĂ©canisme d’attaque : L’attaque repose sur la combinaison de deux propriĂ©tĂ©s distinctes :

  • Un site web peut dĂ©poser silencieusement un fichier dans ~/Downloads sans clic ni autorisation de l’utilisateur.
  • Les agents IA de codage lisent et exĂ©cutent automatiquement les fichiers d’instructions (AGENTS.md, CLAUDE.md) prĂ©sents dans le dossier oĂč ils sont lancĂ©s.

En plantant un fichier AGENTS.md malveillant dans ~/Downloads, un attaquant peut ordonner Ă  l’agent de modifier sa propre configuration, d’installer des paquets npm malveillants ou de rediriger son trafic API vers un serveur contrĂŽlĂ© par l’attaquant.

🎯 Impact dĂ©montrĂ© :

  • Codex : Le fichier malveillant rĂ©el a conduit Codex Ă  installer le paquet npm malveillant function-color et Ă  modifier ~/.codex/config.toml (configuration globale machine) pour y ajouter un serveur MCP attaquant. Taux de succĂšs : >90%. La persistance s’Ă©tend Ă  toutes les sessions Codex sur la machine.
  • Claude Code : Un fichier CLAUDE.md spĂ©cialement conçu redirige le trafic API de Claude vers un serveur attaquant (via ANTHROPIC_BASE_URL), permettant le vol du token OAuth et l’exĂ©cution de code arbitraire via des tool calls injectĂ©s. Taux de succĂšs : ~50%.

🩠 Malware identifiĂ© : Le paquet npm function-color (depuis retirĂ© de npm) est le payload utilisĂ© dans la campagne rĂ©elle, actif pendant environ deux ans avant sa documentation publique.

📁 Fichiers et chemins impliquĂ©s :

  • ~/Downloads/AGENTS.md (payload Codex)
  • ~/Downloads/CLAUDE.md (payload Claude Code)
  • ~/.codex/config.toml (fichier de configuration modifiĂ©)
  • .claude/settings.json (fichier de configuration modifiĂ©)

📊 DonnĂ©es de tĂ©lĂ©mĂ©trie : Environ 50% des clients de Forever Security exĂ©cutent un agent dans le dossier Downloads ; environ 25% des sessions d’agents ouvrent un navigateur rĂ©el, amplifiant l’exposition.

📌 Nature de l’article : Publication de recherche offensive avec preuve de concept (PoC) rĂ©el, basĂ©e sur une dĂ©tection en production. But principal : documenter un nouveau vecteur d’attaque structurel affectant les agents IA de codage et alerter les Ă©quipes de sĂ©curitĂ© sur l’absence de correctif possible cĂŽtĂ© Ă©diteurs.

🧠 TTPs et IOCs dĂ©tectĂ©s

TTP

  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1565.001 — Data Manipulation: Stored Data Manipulation (Impact)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1557 — Adversary-in-the-Middle (Credential Access)
  • T1546 — Event Triggered Execution (Persistence)
  • T1036 — Masquerading (Defense Evasion)

IOC

  • Fichiers : AGENTS.md
  • Fichiers : CLAUDE.md
  • Fichiers : function-color
  • Chemins : ~/Downloads/AGENTS.md
  • Chemins : ~/Downloads/CLAUDE.md
  • Chemins : ~/.codex/config.toml
  • Chemins : .claude/settings.json

⚠ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 26 octobre 2026 et n’ont pas fait l’objet d’une vĂ©rification externe. Un indicateur peut avoir Ă©tĂ© rĂ©attribuĂ© depuis : une IP de C2 peut redevenir un service lĂ©gitime, un domaine sinkholĂ© peut changer de propriĂ©taire. Aucune garantie d’exactitude ni d’actualitĂ© — contrĂŽlez leur validitĂ© avant tout usage opĂ©rationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • function-color (other)

🟡 Indice de vĂ©rification factuelle : 50/100 (moyenne)

  • ⬜ forever.security — source non rĂ©fĂ©rencĂ©e (0pts)
  • ✅ 14543 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 7 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vĂ©rifiĂ© (0pts)
  • ✅ 8 TTPs MITRE identifiĂ©es (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommĂ© (0pts)
  • ⬜ pas de CVE Ă  vĂ©rifier (0pts)

🔗 Source originale : https://forever.security/blog/hijacking-ai-agents-via-downloads-folder