Agenti AI di coding dirottati da un file in Downloads: niente da patchare

Forever Security ha scoperto e riprodotto un attacco contro agenti di coding AI che non sfrutta vulnerabilità software patchabili ma comportamenti-by-design di browser e modelli linguistici. Il 22 ottobre 2026 la società di sicurezza ha reso pubblico il report: un file AGENTS.md o CLAUDE.md piazzato nella cartella Downloads induce OpenAI Codex e Claude Code a eseguire istruzioni malevole, con tassi di successo che superano il 90% nel primo caso e toccano circa il 50% nel secondo. Il dato più preoccupante è che non esiste una correzione tecnica semplice: l'agente che legge e segue il file sta funzionando esattamente come progettato.

Come il file di istruzioni diventa payload

Gli agenti di coding AI sono progettati per leggere file di istruzioni nella directory di lavoro e trasformarli in azioni. OpenAI Codex cerca AGENTS.md, Claude Code legge CLAUDE.md. Questi file sono testo normale, non eseguibili nel senso tradizionale, ma per l'agente AI rappresentano direttive operative con la stessa efficacia di un comando.

Forever Security ha costruito la catena d'attacco intorno a una convenienza quotidiana: la cartella Downloads è la directory predefinita dove i browser salvano i file scaricati. Secondo il report della società, citato da BleepingComputer, "è l'unica cartella che il web può scrivere da solo". Chrome, Edge e Firefox salvano file in Downloads senza richiedere posizione o permesso esplicito all'utente; Brave è l'eccezione, poiché richiede approvazione.

I ricercatori hanno quindi creato una pagina web che scarica silenziosamente un file AGENTS.md in Downloads, verificato da BleepingComputer con stringhe di test 'sensitive data here' e 'line 2'. Se lo sviluppatore avvia l'agente AI da quella cartella — pratica comune secondo i dati di Forever, che registrano oltre 1.300 sessioni Claude Code avviate proprio da ~/Downloads — il file viene letto e interpretato come istruzione legittima.

Persistenza machine-wide e dirottamento API

La riproduzione su OpenAI Codex ha mostrato un meccanismo particolarmente insidioso. L'attacco non si limita alla sessione corrente: modificando ~/.codex/config.toml, il file malevolo imposta un server controllato dall'attaccante come endpoint. Secondo la descrizione di Forever Security riportata da Mashable, "una volta scritto, ogni sessione Codex sulla macchina carica il server dell'attaccante all'avvio — in qualsiasi cartella, in qualsiasi progetto. Puoi lasciare la cartella. Il veleno resta."

La portata è machine-wide perché il file di configurazione risiede nella home directory dell'utente, non nella directory di progetto. Questo significa che anche spostarsi in un'altra cartella, clonare un nuovo repository o riavviare il terminale non elimina la compromissione.

Contro Claude Code il meccanismo è diverso ma altrettanto efficace. Il file CLAUDE.md induce l'agente a scrivere ANTHROPIC_BASE_URL in .claude/settings.json, dirottando il traffico API verso un server esterno. Il framing come documento ingegneristico banale — il file è lungo 13 KB, con tono ordinario — supera i filtri di rifiuto dell'agente. Una volta ottenuto il token OAuth, i ricercatori lo hanno replayato con successo contro il servizio Anthropic legittimo, dimostrando account takeover completo. Help Net Security riporta inoltre un tasso di successo circa del 20% per esecuzione diretta di codice nella stessa sessione Claude Code, tramite un helper agent connesso a server contaccante.

"There is nothing here for OpenAI or Anthropic to patch. An agent that follows the AGENTS.md in its folder is doing exactly what it was built to do." — Forever Security, via BleepingComputer

Il confine sfumato tra istruzione e comando

La natura dell'attacco solleva una questione architetturale più profonda della singola compromissione. Le tradizionali protezioni del sistema operativo — Gatekeeper, firme digitali, sandbox, permessi espliciti — sono progettate per file eseguibili binari. Un file markdown non attiva nessun di questi allarmi, non richiede autorizzazione all'utente, non viene segnalato dagli antivirus come payload sospetto. Eppure, attraverso l'interpretazione di un LLM, diventa "il nuovo eseguibile", come hanno dichiarato Gal Weizman e Omer Samet di Forever Security a Help Net Security.

L'analisi di Akshat Tyagi di HFS Research, citata da CSO Online, individua il nucleo del problema: "Il problema più profondo è che questi strumenti trattano il seguire un'istruzione e il concedere un privilegio come lo stesso atto." L'agente non distingue tra un comando dell'utente legittimo e una direttiva iniettata da file esterno: applica le stesse capacità — installazione pacchetti, esecuzione comandi, modifica configurazioni, accesso a credenziali — in entrambi i casi.

Questo design-by-default elimina il principio di最小特权 che guida la sicurezza software tradizionale. Non esiste un layer di autorizzazione intermedia tra la lettura del file e l'esecuzione dell'azione. Non c'è un "allow/deny" per l'interpretazione di un markdown come istruzione operativa.

Cosa fare adesso

L'assenza di una patch applicabile rende la mitigazione puramente operativa e comportamentale. Le azioni documentate dalla ricerca e dagli esperti intervistati convergono su quattro priorità:

Isolare la directory di lavoro degli agenti. Non avviare mai agenti di coding AI dalla cartella Downloads o da directory dove il browser può scrivere file. Forever Security raccomanda esplicitamente di mantenere le sessioni agente in directory dedicate, con controllo esplicito sui file presenti.

Verificare la presenza di file markdown sospetti. Controllare AGENTS.md, CLAUDE.md e varianti nella working directory prima di avviare l'agente. Il campione reale era lungo 13 KB e mascherato da note di ingegneria: la verifica richiede lettura attenta, non solo scansione automatizzata.

Isolare gli ambienti di sviluppo. Eseguire agenti AI in container o macchine virtuali dedicate, senza accesso a credenziali di produzione o token OAuth di servizi critici. Questo limita l'impatto di un eventuale dirottamento API.

Implementare oversight umano su azioni critiche. Configurare gli agenti per richiedere conferma esplicita prima di installare pacchetti, modificare file di configurazione machine-wide o effettuare chiamate API esterne. Il framing social dell'attacco mira a far approvare queste azioni: la supervisione umana rompe la catena.

L'industria che insegue la propria creazione

La campagna malware MALFEX, cui apparteneva il pacchetto npm 'function-color' indirizzato dall'AGENTS.md reale, ha operato per circa due anni prima della rimozione. Questo timeframe suggerisce che attori malevoli stavano già sfruttando la superficie di attacco degli ecosistemi di sviluppo prima che la comunità di sicurezza ne definisse i contorni.

Il report di Forever Security non identifica sovrapposizioni infrastrutturali che colleghino il caso reale del cliente a campagne note oltre MALFEX, e non conferma il metodo di delivery effettivo del file sulla macchina — il download silenzioso da browser è ipotesi testata con PoC, non fatto accertato. L'attacco Plugin4Shell documentato da Help Net Security a settembre 2026, una zero-click RCE in plugin per agenti AI, appartiene alla stessa classe di rischio ma utilizza meccanismi tecnici distinti.

Quello che emerge con chiarezza è che la sicurezza per design degli agenti AI di coding è, al momento, un ossimoro operativo. Il design stesso — leggere istruzioni da file di testo nella working directory e trasformarle in azioni privilegiate — è ciò che consente l'attacco. Finché l'industria non separerà l'interpretazione del linguaggio naturale dalla concessione di privilegi esecutivi, ogni file markdown in una cartella scrivibile dal web resterà un potenziale vettore di compromissione.

FAQ

Perché non basta un antivirus per bloccare questo attacco?

Il file AGENTS.md è testo normale, non codice eseguibile binario né malware tradizionale. Gli antivirus non segnalano file markdown come minaccia; il payload si attiva solo quando l'agente AI lo legge e lo interpreta come istruzione.

L'attacco funziona anche se non uso il browser mentre lavoro con l'agente?

Il file può arrivare sulla macchina anche senza download automatico — il metodo di delivery del caso reale non è confermato. Tuttavia, se circa un quarto delle sessioni agente apre un browser, la combinazione di autoinfezione senza intervento umano è particolarmente rischiosa per chi ha entrambi i comportamenti.

Esiste una patch o un aggiornamento che risolve il problema?

No. Secondo Forever Security, non c'è nulla da patchare per OpenAI o Anthropic: l'agente che segue le istruzioni nel file di cartella funziona come progettato. La mitigazione è interamente comportamentale e architetturale.