Un file di testo apparentemente innocuo, nascosto nella cartella Download di un ignaro utente, può trasformarsi in un'arma capace di compromettere un agente di intelligenza artificiale. È quanto ha scoperto Forever Security, che ha documentato come un semplice AGENTS.md abbia indotto un agente di coding a tentare l'installazione di un pacchetto npm malevolo. La scoperta accende i riflettori su un nuovo fronte di attacco: i file di configurazione che gli agenti IA leggono automaticamente per orientarsi nel contesto di lavoro.
Come funziona l'attacco
Gli agenti di coding come Codex o Claude Code analizzano i file di istruzione presenti nella directory di lavoro per comprendere meglio le richieste dell'utente. Inserire un AGENTS.md manipolato nella cartella Download significa sfruttare questa fiducia implicita: l'agente interpreta il contenuto come istruzioni legittime e, senza alcun intervento umano, esegue comandi potenzialmente distruttivi. Forever Security ha riprodotto l'attacco su Codex, dimostrando che il vettore non è teorico ma concreto e ripetibile.
Il caso Claude Code e il token OAuth
La ricerca non si è fermata a Codex. Utilizzando un file CLAUDE.md appositamente costruito, i ricercatori sono riusciti a esporre il token OAuth di Claude Code, aprendo la strada a un potenziale accesso non autorizzato all'account dell'utente. Il token, una volta carpito, potrebbe consentire a un malintenzionato di impersonare l'utente o di accedere a risorse sensibili collegate al servizio.
La lezione è chiara: la sicurezza degli agenti IA non può più limitarsi al perimetro tradizionale. File di configurazione, cartelle condivise e directory di download diventano vettori di attacco che richiedono nuove difese, come la validazione dei file di istruzione e la separazione rigorosa tra contesto operativo e contenuti non attendibili. Per chi sviluppa o utilizza agenti di coding, la raccomandazione è di monitorare le directory di lavoro e di non fidarsi mai ciecamente dei file che l'agente legge in autonomia.
