Un simple fichier texte peut suffire à pousser un agent d’intelligence artificielle (IA) à installer un logiciel malveillant ou à exposer des identifiants de connexion. C’est ce que révèle une enquête publiée le 22 octobre 2026 par Forever Security, une entreprise spécialisée dans la surveillance des risques liés aux agents d’IA et aux logiciels autonomes. Les chercheurs ont démontré cette technique d’attaque sur Codex d’OpenAI et Claude Code d’Anthropic. Ces deux agents sont notamment capables de programmer et d’exécuter des commandes informatiques.
L’alerte a été lancée lorsqu’un système de sécurité a détecté une tentative d’installation d’un logiciel malveillant sur l’ordinateur d’un client. L’opération a été bloquée. Mais les chercheurs ont découvert que l’instruction provenait d’un fichier nommé AGENTS.md, présent dans le dossier Téléchargements de la victime.
Ce fichier au format Markdown sert normalement à guider les agents IA dans leur travail. Il peut préciser les règles de programmation, les outils à utiliser ou les bibliothèques logicielles nécessaires à un projet. Dans le cas étudié, le document contenait de fausses consignes techniques demandant à l’agent de modifier sa configuration et d’installer un logiciel présenté comme nécessaire au projet.
Quand un document devient une fausse instruction
Le succès de l’attaque repose sur un mécanisme simple. Le pirate n’a pas besoin de s’adresser directement à l’IA. Il peut, par exemple, piéger une page web pour qu’elle déclenche le téléchargement d’un fichier AGENTS.md sur l’ordinateur de sa cible. Les chercheurs ont démontré la faisabilité de ce scénario, sans toutefois établir comment le fichier avait été introduit lors de l’incident initial.
Imaginons maintenant qu’un développeur demande à Codex d’analyser un fichier téléchargé. Si l’agent travaille depuis le dossier Téléchargements et y trouve un fichier AGENTS.md malveillant, il peut interpréter son contenu comme des instructions légitimes. Cette technique est appelée injection de prompt. Et elle exploite la difficulté des agents à distinguer les instructions autorisées des contenus provenant de sources extérieures.
Selon BleepingComputer, les chercheurs ont reproduit l’attaque sur Codex. Dans plus de 90 % des essais, ils ont réussi à lui faire exécuter une commande inoffensive ouvrant la calculatrice. Ils ont également confirmé, dans un environnement isolé, que l’agent pouvait installer le véritable paquet malveillant, comme testé avec function-color.
Une expérimentation similaire sur Claude Code, avec un fichier CLAUDE.md, a permis de rediriger ses communications vers un serveur contrôlé par les chercheurs. Cette manipulation, réussie dans environ la moitié des tests, pouvait exposer un jeton d’authentification et permettre une prise de contrôle du compte. Pour y parvenir, le fichier malveillant amenait l’agent à modifier l’adresse du serveur auquel il se connectait.
Comment réduire les risques avec son assistant agent IA
Face à ces risques, Forever Security rappelle que la sécurité ne peut plus reposer sur la seule vigilance humaine. « Nous avons détecté cette attaque parce que nous surveillions l’agent, et non l’utilisateur. La prochaine attaque ne ressemblera pas à celle-ci. Et quiconque continue à surveiller uniquement l’utilisateur passera à côté. », expliquent les chercheurs dans leur rapport.
Pour limiter les risques, l’entreprise recommande d’abord de ne jamais lancer Codex, Claude Code ou un autre agent IA depuis le dossier Téléchargements. La raison est que des fichiers provenant d’Internet peuvent y être enregistrés automatiquement. OpenAI et Anthropic recommandent également de lancer leurs agents de programmation depuis le répertoire du projet concerné. Les utilisateurs doivent aussi examiner les fichiers d’instructions AGENTS.md et CLAUDE.md qu’ils n’ont pas créés, notamment dans les projets téléchargés.
Autre précaution : vérifier la configuration de l’agent pour repérer toute adresse de serveur inconnue susceptible de détourner ses communications. Les chercheurs conseillent également de maintenir les demandes d’autorisation et les environnements d’exécution sécurisés. Enfin, si l’utilisateur découvre un fichier malveillant, ils recommandent de considérer les jetons d’authentification comme potentiellement compromis et de les renouveler.
L’affaire rappelle qu’avec les agents IA, le danger peut aussi provenir des documents qu’ils consultent pour accomplir leur mission.
