AGENTS.md est un fichier d'instructions en texte libre que les agents IA de codage comme OpenAI Codex, Claude Code ou Cursor CLI chargent et suivent automatiquement dès qu'ils sont lancés dans un dossier qui le contient. Des chercheurs de Forever Security ont montré qu'un tel fichier, déposé par un attaquant dans le dossier Téléchargements d'un utilisateur, suffit à faire exécuter des commandes arbitraires par l'agent, sans qu'aucune vulnérabilité logicielle ne soit nécessaire, selon BleepingComputer. La découverte, publiée le 25 octobre 2026, a été faite sur le poste d'un client des chercheurs.
Comment un fichier AGENTS.md piégé détourne-t-il un agent IA ?
Les agents de codage sont conçus pour lire automatiquement les fichiers d'instructions (AGENTS.md, CLAUDE.md et équivalents) présents dans leur répertoire de travail, afin d'adapter leur comportement au projet en cours : conventions de code, commandes de build, dépendances à utiliser. C'est précisément ce mécanisme de confiance qui est retourné contre l'utilisateur. Si l'agent est lancé depuis, ou à proximité de, un dossier Téléchargements où un fichier AGENTS.md malveillant a été déposé, ses instructions sont traitées comme une consigne légitime du projet.
Dans les tests reproduits par les chercheurs, un fichier piégé a poussé OpenAI Codex à installer un paquet npm malveillant nommé « function-color » : une charge inoffensive ouvrant simplement la calculatrice a réussi dans 90 % des essais.
Une variante visant Claude Code, via un CLAUDE.md piégé, a réussi à rediriger le trafic de l'API pour exposer le jeton d'authentification OAuth de l'utilisateur, avec un taux de réussite d'environ 50 %. Cursor CLI est cité comme l'un des agents que des utilisateurs lancent depuis leur dossier Téléchargements, sans que les chercheurs n'aient précisé l'avoir testé directement.
Comment un tel fichier peut-il arriver sur un poste ?
Le dossier Téléchargements est, par défaut, la destination de tout fichier récupéré sur le web dans Chrome, Edge ou Firefox, sans confirmation de l'utilisateur ; Brave, de son côté, demande une validation avant chaque téléchargement. Les chercheurs n'ont pas pu déterminer précisément comment le fichier litigieux avait atterri sur le poste étudié, mais une page web malveillante capable de déclencher un téléchargement silencieux suffirait. Aucun CVE n'est associé à cette découverte : selon les chercheurs eux-mêmes, « il n'y a rien ici qu'OpenAI ou Anthropic puissent corriger », puisqu'il s'agit d'un usage prévu de la fonctionnalité, détourné par le contexte dans lequel l'agent est lancé.
Ce détournement par abus de confiance plutôt que par faille logicielle rappelle d'autres compromissions récentes de comptes liés à l'IA, comme celle détaillée dans notre article sur les failles chaînées visant des comptes OpenAI : dans les deux cas, c'est la chaîne d'outils autour du modèle, plus que le modèle lui-même, qui constitue la surface d'attaque réelle.
Que faire pour limiter le risque ?
- Ne faites jamais tourner un agent IA de codage avec le dossier Téléchargements, le dossier personnel ou un répertoire parent trop large comme répertoire de travail : limitez-le à la racine exacte du projet sur lequel vous travaillez.
- Avant de laisser un agent suivre un fichier AGENTS.md ou CLAUDE.md inconnu, ouvrez-le et relisez-le comme vous le feriez pour un script téléchargé : il s'agit d'instructions exécutables, pas d'un simple fichier de documentation.
- Laissez actives les invites de confirmation et les protections de bac à sable de votre agent plutôt que de les désactiver pour aller plus vite ; notre outil d'analyse de fichier ou d'URL suspecte permet d'examiner un élément douteux sans l'exposer à votre environnement de travail.
- Testez tout code ou dépendance potentiellement non fiable dans un environnement isolé, séparé du poste où vous gérez vos jetons et identifiants réels.
- Faites le ménage régulièrement dans votre dossier Téléchargements, et documentez la chaîne d'attaque avec notre schéma de compromission si vous devez former vos équipes sur ce risque.
L'avis du CSIRT
Ce type de détournement ne laisse presque aucune trace exploitable a posteriori si l'agent a simplement suivi des instructions texte : il n'y a ni exploit, ni charge binaire, ni trafic réseau anormal au moment de la compromission elle-même. La priorité immédiate va aux équipes qui ont déployé des agents IA de codage en libre usage sur des postes de développeurs, surtout si ces postes téléchargent des ressources depuis le web sans contrôle (dépôts tiers, extraits de code, documentation) : elles doivent agir dès aujourd'hui sur les règles de répertoire de travail. Les organisations qui n'utilisent pas encore ces outils peuvent planifier une revue de leur politique d'usage avant déploiement plutôt que réagir dans l'urgence.
Pour la détection, cherchez du côté des journaux de l'agent lui-même (quand il en conserve), des commandes shell ou des installations de paquets déclenchées sans action humaine explicite correspondante, et des connexions sortantes inhabituelles depuis le processus de l'agent juste après son lancement. Le piège fréquent : se concentrer sur les postes des développeurs seniors et oublier que n'importe quel utilisateur ayant installé un agent de codage « pour essayer » constitue une porte d'entrée équivalente. Après toute alerte, vérifiez aussi l'historique des jetons et clés API utilisés par l'agent : un détournement réussi vise souvent à les exfiltrer plutôt qu'à endommager le poste lui-même.
Points clés
- Des chercheurs de Forever Security montrent qu'un fichier AGENTS.md ou CLAUDE.md piégé, déposé dans le dossier Téléchargements, suffit à détourner des agents IA de codage comme OpenAI Codex ou Claude Code.
- Les tests obtiennent une exécution de code dans 90 % des cas sur Codex et une exposition de jeton OAuth dans environ 50 % des cas sur Claude Code.
- Aucun CVE n'est associé : le mécanisme abusé (chargement automatique des fichiers d'instructions) fonctionne comme prévu, c'est le contexte de lancement qui crée le risque.
- La parade principale est organisationnelle : ne jamais lancer un agent depuis le dossier Téléchargements ou un répertoire trop large, et toujours relire un fichier d'instructions avant de le laisser suivre.
- Après toute alerte sur ce type de détournement, vérifiez en priorité les jetons et clés API accessibles à l'agent plutôt que de chercher un exploit technique classique.