Un AGENTS.md dans Téléchargements suffit à détourner un agent de code IA

Un fichier texte, une commande npm

Les chercheurs de Forever Security, une société qui surveille les risques introduits par les agents IA, enquêtaient sur un comportement suspect chez un client : son agent de code tentait d’installer un paquet npm malveillant, function-color. Le coupable n’était ni un binaire ni une extension piégée, mais un fichier Markdown, AGENTS.md, posé dans le dossier ~/Downloads du client. Ce dossier servait aussi de répertoire de travail à l’agent, et c’est là tout le problème. Bleeping Computer a relaté l’affaire le 25 octobre 2026, à la suite d’un rapport publié cette semaine par l’entreprise.

Pour rappel, AGENTS.md (ou CLAUDE.md pour Claude Code) est un simple fichier texte qui donne à l’agent les consignes d’un projet : outils à utiliser, façon de lancer les tests, conventions de code. Les agents chargent automatiquement ceux qu’ils trouvent dans leur répertoire de travail et s’en servent pour guider leurs actions. Le fichier n’exécute rien lui-même : il demande. L’agent, qui dispose d’un terminal et des permissions de son utilisateur, s’exécute. Un README que quelqu’un lit enfin jusqu’au bout, et qui en profite pour donner des ordres.

D’après les chercheurs, il n’y a rien à corriger chez OpenAI ou Anthropic : un agent qui suit le AGENTS.md de son dossier fait exactement ce pour quoi il a été construit.

Le seul dossier où le web écrit tout seul

Forever Security n’a pas pu établir comment le fichier était arrivé là. Ses chercheurs ont en revanche montré comment il pourrait y arriver. Par défaut, Chrome, Edge et Firefox enregistrent les téléchargements dans ~/Downloads sans demander d’emplacement, et une page web peut y déposer un fichier nommé AGENTS.md sans aucune interaction. Bleeping Computer a testé leur page de démonstration : elle a bien téléchargé un AGENTS.md, au contenu inoffensif. Une nuance tout de même : ces trois navigateurs affichent une notification de téléchargement, et Brave, lors des tests du média, a demandé à l’utilisateur d’approuver le téléchargement.

Il reste une condition : la victime doit lancer son agent dans ce même dossier. Selon Forever Security, c’est courant, puisqu’on demande volontiers à un agent de ranger Téléchargements ou de traiter le fichier qu’on vient de récupérer. Les statistiques internes de l’entreprise recensent des centaines de clients qui lancent Claude Code, OpenAI Codex ou Cursor CLI depuis ce dossier, dont plus de 1 300 sessions pour Claude Code seul. Le tiroir à bazar du disque dur est devenu un poste de commande.

90 % pour Codex, environ 50 % pour Claude Code

Les chercheurs ont reconstitué la chaîne d’attaque contre Codex avec une charge inoffensive, l’ouverture de la calculatrice : elle a réussi dans 90 % des cas. Dans un autre test, un CLAUDE.md malveillant redirigeait le trafic API de Claude Code vers un serveur qu’ils contrôlaient. Le jeton OAuth de l’agent se retrouvait exposé, et le serveur pouvait se faire passer pour le modèle et renvoyer des appels d’outils qui exécutaient du code, dans environ la moitié des tests. Autrement dit, l’agent ne parle plus à son modèle mais à un imposteur qui a appris à répondre au bon format.

Cloisonner, en pratique

Le risque vient de la combinaison de deux comportements voulus, celui du navigateur et celui de l’agent. Les chercheurs en concluent que la précaution revient à l’utilisateur. Première règle : ne pas faire de ~/Downloads le répertoire de travail d’un agent de code, car ce dossier peut contenir des fichiers non fiables que l’agent prendrait pour des consignes. OpenAI et Anthropic recommandent d’ailleurs de lancer leurs agents depuis le dossier du projet sur lequel ils doivent travailler. Un répertoire limité au projet garantit que l’agent ne lit que ce que vous avez choisi d’y mettre.

Seconde règle, qui découle de la première : une notification de téléchargement que vous n’attendiez pas mérite un coup d’œil, surtout si le fichier s’appelle AGENTS.md ou CLAUDE.md.

On a mis des années à apprendre aux humains à ne pas ouvrir n’importe quel fichier téléchargé. Les agents, eux, n’ont pas suivi la formation, alors évitez de les faire travailler dans Téléchargements.