Ficheiros maliciosos permitem comprometer agentes de IA como Codex e Claude Code

A Forever Security identificou uma técnica de ataque que permite manipular agentes de Inteligência Artificial (IA), como o OpenAI Codex e o Claude Code, através de ficheiros de instruções maliciosos colocados na pasta de downloads dos utilizadores. A investigação teve origem num incidente real, no qual a empresa detetou e bloqueou uma tentativa de instalação de malware num equipamento de um cliente.

O ataque explora a forma como os agentes de programação interpretam ficheiros Markdown, nomeadamente AGENTS.md e CLAUDE.md, que contêm instruções destinadas a orientar o seu comportamento. Quando estes ficheiros são colocados num diretório utilizado pelo agente, podem ser interpretados como instruções legítimas, mesmo que tenham sido introduzidos por um atacante.

Segundo a Forever Security, uma página web pode, em determinadas condições, desencadear o download de um ficheiro para a pasta do utilizador sem uma interação explícita de aprovação. Se um agente de IA for posteriormente iniciado nesse diretório, poderá executar as instruções maliciosas, criando uma oportunidade para ataques de prompt injection.

Ataque real levou à identificação da vulnerabilidade

A investigação começou quando a Forever Security bloqueou uma tentativa de instalação do pacote npm malicioso function-color durante uma sessão de um agente de programação. A análise revelou que a instrução não tinha origem numa dependência de software ou num repositório de código, mas num ficheiro AGENTS.md presente na pasta de downloads do equipamento.

O pacote estava associado a uma campanha de distribuição de malware anteriormente documentada pela Checkmarx. No incidente observado, a Forever Security conseguiu interromper a instalação antes da execução do código malicioso.

Para avaliar o alcance da técnica, os investigadores reproduziram o ataque em ambientes controlados, utilizando o ficheiro encontrado no equipamento do cliente. Os testes confirmaram que as instruções podiam levar os agentes a alterar as próprias configurações e a executar ações não solicitadas pelo utilizador.

No caso do OpenAI Codex, o ficheiro malicioso induzia o agente a modificar a configuração global, localizada em ~/.codex/config.toml, e a instalar um pacote npm. Esta alteração permitia manter a configuração introduzida pelo atacante em sessões posteriores, mesmo quando o agente fosse utilizado noutros diretórios.

Nos testes realizados pela Forever Security, o Codex executou o malware em mais de 90% das tentativas. Os investigadores confirmaram também a execução do pacote malicioso real numa máquina virtual isolada.

Claude Code também pode ser manipulado para roubar credenciais

A Forever Security testou uma variante do ataque contra o Claude Code, recorrendo a um ficheiro CLAUDE.md. Neste caso, o objetivo era alterar a configuração do agente para encaminhar as comunicações com a API para um servidor controlado pelos investigadores.

A técnica permitiu demonstrar dois riscos: a exposição do token OAuth utilizado na autenticação e a possibilidade de o servidor malicioso enviar respostas que levassem o agente a executar comandos.

Segundo a empresa, o ataque ao Claude Code revelou-se mais difícil de concretizar do que no Codex, exigindo uma abordagem diferente. Ainda assim, os resultados demonstraram que o problema não se limita a um único produto.

A investigação destaca que o risco resulta da combinação entre ficheiros de instruções não fidedignos e a capacidade dos agentes para executar ações com as permissões do utilizador. Não se trata necessariamente de uma vulnerabilidade tradicional no software, mas da exploração de funcionalidades previstas no funcionamento destas ferramentas.

Utilização da pasta de downloads aumenta exposição

Os dados de telemetria analisados pela Forever Security indicam que cerca de metade dos clientes observados executava agentes de programação na pasta de downloads, enquanto aproximadamente um quarto das sessões de agentes envolvia a utilização de um navegador.

Esta combinação aumenta a possibilidade de um agente encontrar ficheiros introduzidos através da navegação web e interpretar o respetivo conteúdo como instruções operacionais.

A empresa alerta que os mecanismos tradicionais de segurança, concebidos para impedir a execução automática de ficheiros descarregados da Internet, podem não ser suficientes neste cenário. Um ficheiro Markdown não é, por si só, um executável, mas pode desencadear ações perigosas quando interpretado por um agente com capacidade para instalar software, alterar configurações ou executar comandos.

Investigadores recomendam rever configurações e restringir permissões

A Forever Security recomenda que as organizações evitem executar agentes de IA diretamente na pasta de downloads e verifiquem a presença de ficheiros AGENTS.md ou CLAUDE.md cuja origem não seja conhecida, incluindo em repositórios recentemente descarregados.

Os investigadores aconselham também a monitorização das configurações dos agentes, procurando alterações inesperadas nos servidores MCP, nos endereços das API e nas definições de encaminhamento de tráfego. No Codex, estas verificações devem incluir o ficheiro ~/.codex/config.toml, enquanto no Claude Code importa analisar as configurações locais dos projetos.

A manutenção dos mecanismos de aprovação e isolamento é igualmente recomendada, sobretudo quando os agentes têm permissões para executar comandos ou modificar ficheiros. Caso seja identificada uma configuração maliciosa, a empresa aconselha a substituição dos tokens de autenticação potencialmente comprometidos.

A investigação demonstra que a adoção de agentes de IA introduz novos riscos de segurança, particularmente quando estas ferramentas processam conteúdos externos e executam ações de forma autónoma. Para as organizações, o desafio passa por controlar não apenas os comandos executados pelos utilizadores, mas também as instruções que os agentes recebem e as alterações que podem realizar nos sistemas.