Basta un file di istruzioni scaricato da una pagina web. Se lo sviluppatore avvia l'agente IA nella cartella Download, quel file decide cosa fa l'agente: installa pacchetti, esegue codice, consegna token.
Chi dà gli ordini all'agente IA che il tuo sviluppatore lancia dal terminale? In teoria lo sviluppatore. In pratica, a volte, un file che nessuno ha mai aperto.
Cosa è successo
I ricercatori di Forever Security, una società che monitora i rischi legati agli agenti IA, hanno trovato un file AGENTS.md malevolo nella cartella Download di un cliente. Quella stessa cartella era la directory di lavoro di un agente di programmazione, che ha provato a installare un pacchetto npm malevolo chiamato "function-color". Npm è il grande archivio di librerie JavaScript: installare un pacchetto vuol dire scaricare ed eseguire codice scritto da altri. Come il file sia arrivato lì non si sa. Secondo i ricercatori, però, basta visitare una pagina web costruita ad arte.
Il meccanismo, in breve
AGENTS.md (e il suo equivalente CLAUDE.md) è un file di istruzioni. Gli agenti come Codex di OpenAI o Claude Code di Anthropic lo leggono in automatico quando partono in una cartella, e lo seguono usando tutti gli strumenti e i permessi che hanno. Il problema è che Chrome, Edge e Firefox salvano i file nei Download senza chiedere niente: al massimo compare una notifica. Brave invece chiede conferma. Quindi una pagina web può far scaricare un AGENTS.md. Se poi qualcuno avvia l'agente proprio lì, magari per mettere ordine tra i file scaricati, l'agente esegue gli ordini di chi ha scritto il file.
I numeri dei test
Con Codex il comportamento è stato riprodotto nel 90% dei tentativi, usando un payload innocuo che apriva la calcolatrice. Con Claude Code un CLAUDE.md modificato ha dirottato il traffico verso un server dei ricercatori, esponendo il token OAuth dell'agente, cioè la chiave che autentica l'account. Fingendosi il modello, quel server rimandava indietro comandi che sono stati eseguiti in circa la metà dei casi. Il dato più scomodo riguarda le abitudini: centinaia di clienti di Forever Security avviano agenti dai Download. Solo per Claude Code si contano oltre 1.300 sessioni partite da quella cartella.
Nessuna patch in arrivo
Per i ricercatori non c'è niente da correggere né per OpenAI né per Anthropic: browser e agenti fanno esattamente quello per cui sono progettati. Il rischio nasce dall'incrocio di due comportamenti normali. Le contromisure quindi sono di metodo: mai usare Download o la home come directory di lavoro, avviare l'agente nella cartella del singolo progetto, leggere gli AGENTS.md e i CLAUDE.md che non si conoscono, tenere attive le richieste di conferma e la sandbox, provare il codice non fidato in un ambiente isolato.
Fonte: BleepingComputer
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Questa notizia mi piace poco, e proprio perché non c'è un bug da sistemare. Qui non si aspetta l'aggiornamento del martedì: il buco è un'abitudine. Per anni abbiamo insegnato che un file scaricato non va aperto alla leggera. Adesso il file non lo apre nessuno, lo legge l'agente, e lo prende come un ordine. Nei team di sviluppo che seguo gli agenti IA sono entrati in fretta, spesso su iniziativa dei singoli. Girano con i permessi dell'utente, a volte con le conferme disattivate perché "rallentano", e senza una regola su dove si possano avviare. Lo capisco, la comodità è reale. Ma un agente che installa pacchetti e usa token a nome tuo è a tutti gli effetti un utente privilegiato, e andrebbe trattato così.
Ammetto che una soluzione pulita non ce l'ho. Leggere ogni file di istruzioni prima di avviare l'agente è il consiglio giusto, ma so bene quanto regge alle sei di sera con una consegna in scadenza. Più realistico partire da poche regole scritte: cartelle consentite, sandbox sempre attiva, token con il minimo dei permessi, e un occhio ai log per capire da dove partono le sessioni. Se nella tua azienda gli sviluppatori usano Codex, Claude Code o Cursor e vuoi capire quanto sono esposti oggi, possiamo rivedere insieme come sono configurati e scrivere regole che il team riesca davvero a rispettare.