Un fichier dans Téléchargements a suffi

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

• ✓ÉtabliUn fichier AGENTS.md malveillant a été trouvé dans le dossier Téléchargements d'un client réel de Forever, déguisé en notes d'ingénierie, et l'agent a tenté d'installer le paquet npm piégé function-color avant d'être bloqué[1][2][3]
• ✓ÉtabliUn agent de codage lit et suit le fichier d'instructions (AGENTS.md, ou CLAUDE.md pour Claude Code) présent dans le dossier où il est lancé[1][2][3]
• ✓ÉtabliDans leurs tests, les chercheurs ont fait exécuter la charge malveillante par Codex dans plus de 90 % des tentatives[1][2][3]
• ✓ÉtabliUne page web peut déposer un fichier dans le dossier Téléchargements sans clic et sans demande de permission, en choisissant son nom et son contenu[1][2]
• ✓ÉtabliAvec Codex, la consigne fait ajouter un serveur d'outils dans ~/.codex/config.toml, réglage qui vaut pour toutes les sessions suivantes de la machine[1][2][3]
• ✓ÉtabliAvec Claude Code, un CLAUDE.md planté fait écrire une adresse d'API dans .claude/settings.json : le jeton OAuth fuit, ce qui permet une prise de contrôle du compte sans exécuter de code[1][2][3]
• ✓ÉtabliDans leurs tests, Claude Code a suivi la consigne environ une fois sur deux[1][3]
• ✓ÉtabliEnviron la moitié des clients suivis par Forever lancent un agent de codage dans le dossier Téléchargements[1][3]
• ✓ÉtabliEnviron un quart des sessions d'agent dans cette télémétrie ouvrent un navigateur[1]
• ≈RapportéClaude Code a été lancé plus de 1 300 fois depuis le dossier Téléchargements chez les clients de Forever[3]
• ≈RapportéSelon Forever, il n'y a rien à corriger côté OpenAI ou Anthropic : un agent qui suit le fichier de son dossier fait ce pour quoi il est conçu[1][2][3]
• ✓ÉtabliLe paquet function-color appartient à une campagne npm passée inaperçue environ deux ans et depuis retirée par npm[1][2]
• ✓ÉtabliLe fichier réel pesait 13 Ko et se présentait comme un document d'ingénierie banal[1][2]
• ?InconnuComment le fichier est arrivé dans le dossier Téléchargements du client réel n'est pas établi ; le dépôt silencieux par une page web est une reproduction en laboratoire[1][3]
• ✓ÉtabliForever recommande de ne jamais lancer d'agent dans Téléchargements, de lire tout AGENTS.md ou CLAUDE.md non écrit par l'équipe, de garder approbations et bac à sable actifs, et de traiter tout jeton exposé comme volé[1][2][3]