Se alguém na sua empresa usa agente de IA para programar, como Codex ou Claude Code, vale uma regra nova para esta semana: nada de abrir o agente dentro da pasta Downloads. A empresa de segurança Forever Security publicou em 22 de outubro de 2026 que encontrou um arquivo AGENTS.md malicioso na pasta Downloads de um cliente real. O agente, aberto ali, leu o arquivo como se fossem instruções do dono da máquina e tentou instalar um pacote malicioso do npm.
O caso ganhou repercussão em 25/10, com reportagem do BleepingComputer. Não existe atualização para instalar, porque não há defeito de programa a corrigir: o agente faz exatamente o que foi feito para fazer, que é seguir o arquivo de instruções da pasta em que está. A proteção depende de hábito.
Como o ataque funciona
Agentes de programação procuram, na pasta em que são abertos, arquivos de instrução com nome conhecido: AGENTS.md no Codex, CLAUDE.md no Claude Code. Esses arquivos existem para dizer ao agente como o projeto funciona, que comandos rodar e que padrões seguir.
Segundo os pesquisadores Gal Weizman e Omer Samet, da Forever Security, um site consegue gravar um arquivo na pasta Downloads sem que a pessoa perceba. Se depois alguém abre o agente nessa pasta, o arquivo plantado vira ordem. Os autores resumem assim: "Markdown é o novo executável".
No teste com o Codex, o arquivo mandava incluir um servidor MCP na configuração geral da máquina (`~/.codex/config.toml`) e instalar o pacote `function-color` do npm, o que abre caminho para rodar código. No teste com o Claude Code, um CLAUDE.md plantado mandava gravar `.claude/settings.json` apontando o endereço da API da Anthropic (`ANTHROPIC_BASE_URL`) para um servidor do atacante. Segundo a Forever, isso expõe o token de acesso da conta e permite rodar comandos.
Com que frequência deu certo
Os números são da própria Forever Security:
- Codex: executou o programa malicioso em mais de 90% das tentativas;
- Claude Code: seguiu a instrução de gravar a configuração em cerca de 50% das vezes; a execução de código na mesma sessão, por um subagente, funcionou em cerca de um quinto das tentativas.
Por que não tem correção
A Forever escreve que "não há nada aqui para a OpenAI ou a Anthropic corrigirem". O agente funciona como foi desenhado: lê o arquivo de instruções da pasta. O problema é a pasta. Downloads recebe arquivos de qualquer site, e ninguém revisa o que entra lá.
Segundo o BleepingComputer, OpenAI e Anthropic recomendam rodar os agentes só dentro da pasta do projeto. É a mesma lógica de não abrir anexo de e-mail desconhecido com permissão de administrador.
O que fazer agora
- Nunca abra o agente em Downloads, na área de trabalho ou na pasta pessoal. Abra sempre dentro da pasta do projeto.
- Leia antes de confiar. Se aparecer um AGENTS.md ou CLAUDE.md que você não escreveu, abra no editor e leia antes de deixar o agente usar.
- Confira as configurações. No Codex, procure em `~/.codex/config.toml` servidores MCP que você não instalou. No Claude Code, veja se `.claude/settings.json` tem um `ANTHROPIC_BASE_URL` ou proxy que você não conhece.
- Mantenha as aprovações ligadas. Deixe o agente pedir confirmação antes de rodar comando e não desligue a sandbox para ganhar tempo.
- Procure o pacote. Se `function-color` aparecer nas instalações de alguma máquina, a Forever orienta tratar o computador como comprometido.
- Troque as credenciais se houver qualquer sinal de invasão: tokens das ferramentas de IA, chaves de API e senhas guardadas na máquina.
O que ainda não se sabe
Os pesquisadores não sabem como o arquivo chegou à máquina do cliente. Não há informação sobre o tamanho da campanha, quem está por trás nem casos no Brasil. O Cursor CLI é citado como exposto ao mesmo tipo de truque, mas não foi testado. O texto da Forever não traz resposta da OpenAI nem da Anthropic.
Onde a Oneck entra
Agente de IA acelera o desenvolvimento, desde que a máquina de quem programa tenha regra: pasta de projeto separada, revisão do que o agente vai executar e credenciais trocadas quando algo sai do lugar. A frente de Software & Sistemas da Oneck Creative desenvolve e mantém sistemas com esse cuidado no dia a dia. Se a sua equipe usa agentes de IA e você quer revisar como, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Forever Security: sequestrando agentes de IA pela pasta Downloads (22/10/2026); BleepingComputer: agentes de programação sequestrados com arquivo AGENTS.md na pasta Downloads (25/10/2026).
