Nettsider kan plante AGENTS.md i Downloads, og Codex fulgte fila i over 90 % av testene

Forever Security stoppet en kodeagent hos en kunde midt i økten da den prøvde å installere function-color, en kjent ondsinnet npm-pakke. Ordren kom fra en AGENTS.md i kundens ~/Downloads, som også var agentens arbeidsmappe. Ingen visste hvordan fila havnet der, men Forever viser at en nettside kan laste ned en fil med akkurat det navnet uten ett klikk. Chrome, Edge og Firefox lagrer nedlastinger rett i Downloads som standard, skriver BleepingComputer.

Fila er et 13 KB langt dokument forkledd som vanlige retningslinjer for utviklere. Én seksjon ber Codex legge inn en MCP-server i ~/.codex/config.toml og så starte en ny codex exec med --dangerously-bypass-approvals-and-sandbox. Serveren starter npm install via launchctl, utenfor Codex' kontroll. Siden config.toml gjelder hele maskinen, laster hver senere Codex-økt angriperens server, uansett mappe. I Forevers tester kjørte Codex skadevaren i over 90 % av forsøkene.

Mot Claude Code laget forskerne en CLAUDE.md som skriver ANTHROPIC_BASE_URL inn i .claude/settings.json. Da sender Claude OAuth-tokenet sitt til en server angriperen eier, og serveren kan svare som modellen med Bash-kall der sandkassen er slått av. Det lyktes omtrent halvparten av gangene. Forsker Gal Weizman sa til BleepingComputer at Claude Code alene har startet over 1 300 økter fra Downloads hos Forevers kunder.

«Det er ingenting her for OpenAI eller Anthropic å patche.» — Forever Security

Hva bør du gjøre?

1. Start agenten i roten av prosjektet den skal jobbe i, aldri i ~/Downloads eller hjemmemappen.
2. Se etter uventede mcp_servers-blokker eller endret chatgpt_base_url i ~/.codex/config.toml, og etter ANTHROPIC_BASE_URL i prosjektenes .claude/settings.json.
3. Behold godkjenningsdialoger og sandkasse påslått. Finner du en slik endring, roter tokenet, og finner du function-color installert, behandle maskinen som kompromittert.