AGENTS.md na Downloads: como um arquivo silencioso sequestra seu agente de IA em 90% dos testes

Um arquivo de texto chamado AGENTS.md, depositável silenciosamente na pasta Downloads por qualquer site, foi suficiente para fazer o OpenAI Codex instalar um pacote npm malicioso em mais de 90% dos testes. Em um experimento separado, usando o arquivo equivalente do Claude Code — o CLAUDE.md —, os mesmos pesquisadores induziram o vazamento de um token de autenticação OAuth em cerca de 50% das tentativas.

A descoberta é da empresa de segurança Forever Security, publicada em 22 de outubro de 2026. O caso começou com um cliente real: um agente de codificação tentou instalar o pacote "function-color", e a investigação rastreou a origem até um AGENTS.md escondido na pasta Downloads.

AGENTS.md: o arquivo que trava a segurança dos agentes

AGENTS.md é um formato adotado por Codex, Claude Code e outros agentes de codificação para carregar instruções de contexto sempre que são abertos em uma pasta. O problema está no ponto de entrada: a pasta Downloads do Chrome, do Edge e do Firefox pode receber arquivos gravados por uma página web sem qualquer interação do usuário.

"Uma página web pode baixar um arquivo chamado AGENTS.md na sua pasta Downloads, silenciosamente", escreveu a Forever Security. "Nenhum clique. Nenhuma aprovação." Se o usuário depois abre um agente de IA tendo a pasta Downloads como diretório de trabalho — situação comum para quem baixa um projeto ou script para testar rapidamente — o agente lê o AGENTS.md e trata seu conteúdo como instrução de sistema.

O que dizem os estudos

Forever Security (22 de outubro de 2026). Em testes controlados reproduzindo o caso do cliente real, o Codex executou o payload malicioso — instalação de pacote npm forjado — em mais de 90% das tentativas. Em um teste separado, com um arquivo CLAUDE.md malicioso redirecionando o tráfego de API do Claude Code para um servidor controlado pelos pesquisadores, o agente vazou o token OAuth de login em aproximadamente 50% dos testes.

Limitação do estudo: a empresa não divulgou o número total de tentativas nem detalhou se os agentes estavam em modo totalmente autônomo ou com aprovação humana ativada por padrão (o que pode inflar as taxas em relação ao uso real). A própria Forever Security reconhece que a maioria dos testes do Codex usou um payload inofensivo — um programa que apenas abre uma calculadora — em vez do pacote malicioso real, testado apenas uma vez, dentro de uma máquina virtual isolada. É um relatório de empresa de segurança, não um artigo revisado por pares.

prompt.security (correlato sobre GitHub Copilot no VS Code). Mostra problema similar: o VS Code injeta automaticamente o conteúdo de um AGENTS.md encontrado no workspace em toda requisição de chat, tratando-o como instrução de alta prioridade. O texto classifica o vetor nas categorias OWASP ASI01 (sequestro de objetivo do agente) e ASI02 (uso indevido de ferramenta).

Por que isso não dá para corrigir

O ponto mais crítico da pesquisa é que não existe patch possível. "Não há nada aqui para a OpenAI ou a Anthropic corrigirem", afirmam os pesquisadores. "Um agente que segue o AGENTS.md na sua pasta está fazendo exatamente o que foi construído para fazer."

No teste com o Codex, o próprio agente escreveu e executou a flag --dangerously-bypass-approvals-and-sandbox, interpretando por conta própria que ela era "necessária para a instalação". A trava de segurança foi contornada pelo próprio agente seguindo a lógica do arquivo malicioso — não é uma falha de código a ser corrigida em uma nova versão.

O risco real depende do seu hábito

A pesquisa reconhece um limite importante: a exposição cai bastante quando o agente é aberto apenas na raiz de um projeto de confiança, não em pastas genéricas como Downloads, e quando sandbox e prompts de aprovação permanecem ativos. O ataque explora o comportamento padrão de carregar instruções de contexto automaticamente, não uma falha isolada de um modelo.

Para programadores usando Codex, Claude Code ou ferramentas similares no Brasil, a recomendação é manter os freios ligados:

• Deixem os portões de aprovação e sandbox ativados — nunca desabilite flags de segurança, mesmo que pareça agilizar o fluxo
• Não abra agentes na pasta Downloads — use um diretório de projeto específico e confiável
• Revise qualquer AGENTS.md ou CLAUDE.md antes de confiar — leia o arquivo antes de abrir o agente na pasta
• Evite flags de bypass — desative qualquer parametrização que diga "dangerously" ou que pule aprovações

Segundo a Forever Security, não existe uma atualização de software que resolva o problema pela raiz. A única defesa é comportamento do usuário.