AGENTS.md in Downloads kaapt Claude Code en Codex

Beveiligingsbedrijf Forever Security trof op de computer van een klant een kwaadaardig AGENTS.md-bestand aan in de map ~/Downloads. Het bestand bevatte geen code, alleen tekst. Toch kreeg het de AI-codeagent van die gebruiker zover dat die een besmet npm-pakket probeerde te installeren. BleepingComputer beschreef de zaak op 25 oktober; het onderzoek van Forever staat sinds 22 oktober online.

Een tekstbestand als opdracht

Bestanden als AGENTS.md en CLAUDE.md bevatten projectinstructies voor AI-codeagents: welke tools ze moeten gebruiken, hoe ze tests draaien, welke conventies gelden. Een agent leest zo'n bestand automatisch in zodra het in zijn werkmap staat, en volgt de inhoud op. Uitvoerbaar zijn ze niet, maar de instructies erin kunnen een agent wel commando's laten uitvoeren, pakketten laten installeren of instellingen laten wijzigen — met de rechten die de agent toch al heeft.

Bij de getroffen klant was ~/Downloads óók de werkmap van de agent. Forever herleidde de installatiepoging van het pakket function-color naar het AGENTS.md dat daar stond, vermomd als gewone technische aantekeningen. Volgens de onderzoekers zette dat bestand de agent aan zijn eigen configuratie te herschrijven, waarna code uitvoeren of het inlogtoken weggeven mogelijk werd.

Negentig procent bij Codex, de helft bij Claude Code

Forever bouwde de aanvalsketen na. Tegen OpenAI Codex gebruikten de onderzoekers een onschuldige payload die alleen de rekenmachine opende: dat lukte in 90 procent van de pogingen. In een aparte test stuurden ze met een kwaadaardig CLAUDE.md het API-verkeer van Claude Code naar een eigen server. Daarmee kwam het OAuth-token van de agent bloot te liggen, zodat hun server zich kon voordoen als het model en tool-aanroepen kon terugsturen die code uitvoerden. Dat werkte in ruwweg de helft van de tests.

Patchen helpt niet, stellen de onderzoekers: "There is nothing here for OpenAI or Anthropic to patch. An agent that follows the AGENTS.md in its folder is doing exactly what it was built to do."

Waarom juist de map Downloads

~/Downloads is volgens Forever "de enige map waar het web zelf in kan schrijven". Chrome, Edge en Firefox bewaren downloads daar standaard zonder per bestand te vragen waar het heen moet; ze tonen wel een melding. Brave vraagt volgens de test van BleepingComputer eerst om toestemming. BleepingComputer controleerde de proof-of-concept-pagina van de onderzoekers en zag daar inderdaad een AGENTS.md landen.

Hoe het bestand bij de klant belandde, kon Forever niet vaststellen. Wel zou het bezoeken van een kwaadaardige pagina al genoeg zijn, zonder dat de gebruiker iets hoeft te klikken. Daarna moet het slachtoffer de agent nog wel in die map starten — iets wat volgens onderzoeker Gal Weizman vaker gebeurt dan je denkt, omdat mensen hun downloadmap met een agent opruimen of meteen iets met een vers bestand willen doen. Interne cijfers van Forever laten zien dat honderden klanten agents als Claude Code, Codex en Cursor CLI vanuit ~/Downloads starten. Alleen voor Claude Code gaat het om ruim 1.300 sessies vanaf die locatie.

Wat je nu kunt doen

Volgens Forever en de aanbevelingen van OpenAI en Anthropic ligt de verdediging bij de gebruiker:

• Start een codeagent in de hoofdmap van het project waar hij aan moet werken, niet in je homedirectory, een brede bovenliggende map of ~/Downloads. De werkmap bepaalt de standaardcontext en, afhankelijk van de tool, de grens van de bestandstoegang.
• Houd die werkmap zo klein als werkbaar is en breid de toegang alleen uit als het nodig moet.
• Lees onbekende AGENTS.md- en CLAUDE.md-bestanden na voordat je een agent ze laat volgen.
• Laat goedkeuringsprompts en sandbox-bescherming aan staan.
• Test code die je niet vertrouwt eerst in een geïsoleerde omgeving.