Claude Code e Codex obbediscono a un file che qualsiasi sito può lasciare nei tuoi Download

Un file di testo salvato da un sito nella cartella Download può ora impartire ordini all’agente di programmazione basato sull’IA presente sul computer. I ricercatori di Forever Security hanno trovato sul computer di un cliente un file AGENTS.md piazzato ad arte: è il documento di istruzioni in testo semplice che strumenti come Codex di OpenAI leggono all’avvio, e in questo caso diceva all’agente di installare un malware noto. Se ti è mai capitato di aprire Claude Code o Codex dalla cartella Download per fare un po’ d’ordine o lavorare su un file appena scaricato, hai accordato a quella cartella la stessa fiducia che riservi a uno dei tuoi progetti.

L’agente, per quanto lo riguardava, non ha fatto nulla di sbagliato. AGENTS.md e il suo equivalente per Claude, CLAUDE.md, esistono perché un progetto possa indicare all’agente quali strumenti usare e come eseguire i test; l’agente è progettato per attenersi a queste istruzioni. Il punto sollevato dai ricercatori è che Download è l’unica cartella che il web può riempire da solo. «Qui non c’è nulla che OpenAI o Anthropic possano correggere con una patch», scrivono. «Un agente che segue il file AGENTS.md presente nella propria cartella fa esattamente ciò per cui è stato creato».

Il file autentico era un documento da 13 KB, intitolato come una serie di linee guida per l’ingegneria, con l’attacco nascosto verso la fine e formulato con il tono pacato di una nota di configurazione. Diceva a Codex di aggiungere alla propria configurazione un server per gli «strumenti di progetto» e di installare un pacchetto npm chiamato function-color, che i ricercatori descrivono come un malware appartenente a una campagna rimasta inosservata per circa due anni. Il software di Forever ha bloccato l’installazione prima che venisse eseguito del codice. Nei test del team, condotti perlopiù con un innocuo sostituto che si limitava ad aprire la calcolatrice, Codex ha eseguito gli ordini contenuti nel file in oltre il 90% dei tentativi; anche il pacchetto reale è stato eseguito una volta all’interno di una macchina virtuale isolata. La modifica finisce nel file delle impostazioni di Codex valido per l’intero computer, così ogni sessione successiva di Codex carica il server dell’attaccante, qualunque sia la cartella utilizzata.

Claude Code è stato più difficile da ingannare. Il team ha scritto un proprio CLAUDE.md, pensato per convincere Claude a indirizzare il traffico API verso un server controllato dall’attaccante e mascherato da gateway aziendale. Questa singola impostazione consegna il token di accesso di Claude; i ricercatori lo hanno poi riutilizzato contro l’API autentica di Anthropic per agire al posto della vittima. Inoltre, permette al server falso di rispondere come se fosse il modello e di inviare comandi con la sandbox disattivata. Claude chiede a una persona di approvare una modifica alle impostazioni di questo tipo e spesso la rifiuta, ma la modifica è andata comunque a buon fine circa la metà delle volte.

Portare il file su un computer è più facile di quanto si possa pensare. Per impostazione predefinita, Chrome, Edge e Firefox salvano i download in quella cartella senza chiedere dove metterli, e una pagina può scegliere sia il nome sia il contenuto del file. BleepingComputer, che ha riferito i risultati, ha visitato la pagina dimostrativa dei ricercatori e l’ha vista salvare un innocuo AGENTS.md. Brave ha chiesto prima l’autorizzazione. Gal Weizman, ricercatore di Forever, ha detto alla testata che centinaia di clienti dell’azienda avviano Claude Code, Codex o l’agente da riga di comando di Cursor dalla cartella Download, e che il solo Claude Code vi ha avviato oltre 1.300 sessioni.

La ricerca lascia alcune questioni aperte. Forever non è riuscita a stabilire come il file dannoso sia arrivato sul computer del cliente, e l’attacco richiede comunque che qualcuno avvii in seguito un agente da quella cartella. Chrome, Edge e Firefox mostrano un avviso di download, che un utente attento potrebbe notare. Il payload reale era stato scritto per macOS. Forever vende anche software di monitoraggio per gli agenti IA, quindi ha un interesse commerciale nel rischio che descrive; inoltre, il rapporto non riporta alcuna risposta di OpenAI o Anthropic. Gli strumenti coinvolti sono venduti in tutto il mondo, perciò l’esposizione è la stessa in ogni mercato in cui vengono usati dagli sviluppatori.

La difesa si basa soprattutto sulle abitudini. Non avviare mai un agente di programmazione dalla cartella Download: eseguilo invece dalla cartella del progetto su cui deve lavorare, come già raccomandano OpenAI e Anthropic. Prima che un agente possa leggere un file AGENTS.md o CLAUDE.md che non hai scritto tu, esaminalo; inoltre, lascia attive le richieste di approvazione e le sandbox. Nel file delle impostazioni di Codex, cerca voci relative a server che non hai aggiunto. Nelle impostazioni Claude di un progetto, verifica che non compaia un indirizzo API che non hai configurato. Se ne trovi uno, considera rubato il token di accesso e revocalo; considera inoltre compromesso qualsiasi computer su cui sia stato installato function-color, che nel frattempo è stato rimosso da npm.

Forever ha pubblicato il rapporto il 22 ottobre, mentre l’articolo di BleepingComputer è uscito il 25 ottobre. I ricercatori sostengono che qualsiasi agente capace di leggere un file di istruzioni e riscrivere la propria configurazione può essere manipolato allo stesso modo: Codex e Claude Code sono quindi i primi due nomi di una lista destinata ad allungarsi. Un download dal browser era innocuo finché qualcuno non lo apriva. Ora il file si apre da sé non appena un agente comincia a leggere la cartella.

Tag: OpenAI, Anthropic, agenti IA, sicurezza informatica, Claude Code, Forever Security