Arquivo AGENTS.md malicioso na pasta Downloads tenta sequestrar agente de codificação de IA

O incidente começou com um arquivo chamado AGENTS.md depositado na pasta Downloads de um desenvolvedor — a empresa não conseguiu determinar como o arquivo chegou ali, mas observou que páginas web podem gravar arquivos nessa pasta sem exigir clique ou prompt de permissão do usuário, o que por si só já é um vetor de entrada preocupante. O arquivo foi redigido para parecer uma anotação legítima de engenharia, mas continha instruções para que o agente de codificação instalasse o pacote npm "function-color", que por sua vez baixa um downloader ("function-flag") responsável por buscar e executar um payload malicioso para Windows. Esses pacotes fazem parte da campanha MALFEX, documentada anteriormente por pesquisadores da CloudSEK e da Checkmarx.

Tecnicamente, o ataque explora dois pontos estruturais do funcionamento de agentes como o Codex: primeiro, a convenção AGENTS.md é lida e tratada como contexto confiável assim que o agente é iniciado em uma pasta, sem distinção entre instruções escritas pelo desenvolvedor e instruções plantadas por terceiros; segundo, contra o Codex especificamente, o arquivo instruía a modificação do arquivo de configuração ~/.codex/config.toml para registrar um servidor malicioso, uma alteração persistente que passaria a afetar todas as sessões futuras do agente naquela máquina, não apenas a sessão corrente. É um exemplo claro de injeção de prompt indireta: o conteúdo malicioso não chega por um prompt digitado pelo usuário, mas por um arquivo no sistema de arquivos que o agente consome como se fosse instrução legítima.

A Forever Security reproduziu o ataque em laboratório contra o Codex e o Claude Code para validar o alcance do problema, obtendo uma taxa de sucesso superior a 90% contra o Codex nos testes controlados. No caso real, a empresa conseguiu interromper o agente antes que qualquer código malicioso fosse executado, mas o episódio mostra que a detecção dependeu de monitoramento ativo de terceiros, e não de alguma salvaguarda nativa do próprio agente.

O caso importa porque evidencia um padrão de risco que se repete em agentes de codificação de IA: arquivos de contexto como AGENTS.md, README ou configurações de projeto são tratados com alto grau de confiança implícita, criando uma superfície de ataque persistente e de baixo esforço para quem conseguir depositar um arquivo em qualquer pasta que o agente venha a abrir — seja via download disfarçado, repositório comprometido ou, como neste caso, um arquivo plantado silenciosamente via navegador. Enquanto ferramentas de IA para desenvolvimento não passarem a tratar arquivos de instrução como dados não confiáveis sujeitos a sandboxing e validação, esse vetor continuará sendo explorável contra qualquer desenvolvedor que mantenha um agente ativo em uma pasta de trabalho compartilhada ou exposta.