Che cosa è stato descritto
Secondo la ricostruzione pubblicata dalla società di sicurezza Forever Security e ripresa da QbitAI, un semplice file di testo Markdown chiamato AGENTS.md, o la variante CLAUDE.md, può trasformarsi in un vettore di attacco quando finisce nella cartella dei download dell'utente. Il file non conterrebbe codice eseguibile, ma istruzioni in linguaggio naturale che gli assistenti di programmazione sono progettati per leggere e seguire come contesto del progetto.
La novità non starebbe nell'uso di un prompt malevolo in sé, ma nello sfruttamento di una funzione legittima: gli agenti come Codex e Claude Code leggono i file di istruzioni presenti nella directory di lavoro per adattare il proprio comportamento. Un file scaricato e poi aperto in quella stessa directory verrebbe trattato come documentazione autorevole, anche se il suo autore è esterno.
Le due catene di attacco
Nel caso di Codex, le istruzioni contenute nel file indurrebbero l'agente a registrare un server di strumenti nella configurazione globale dell'utente e a eseguire un processo con l'opzione che disattiva le approvazioni e la sandbox. Poiché la modifica riguarderebbe la configurazione dell'intera macchina e non quella della singola cartella, un servizio malevolo potrebbe essere riattivato a ogni avvio successivo, anche in progetti diversi.
Per Claude Code, invece, l'attacco descritto punterebbe a riscrivere le impostazioni del progetto per reindirizzare le richieste verso un gateway controllato dall'attaccante. In questo modo il token di accesso verrebbe inviato al server esterno; la risposta contraffatta conterrebbe a sua volta un comando che disattiva la sandbox. Forever Security ha documentato la catena in un video su YouTube e in un post sul proprio blog.
Il perimetro e i limiti
La tesi centrale è che il comportamento degli agenti non dipenderebbe da una vulnerabilità del software, ma dall'uso previsto delle funzionalità: leggere le istruzioni locali ed eseguire i suggerimenti. Il rischio riguarderebbe soprattutto gli utenti che lavorano con repository o archivi scaricati da terzi e che hanno concesso all'agente permessi ampi, incluse esecuzioni senza conferma.
Restano da verificare in modo indipendente la riproducibilità della catena, le versioni dei prodotti coinvolte e il numero di casi reali. Le indicazioni pratiche citate consistono nel controllare la presenza dei file nella cartella dei download e sul desktop, verificare le configurazioni globali alla ricerca di voci anomale, esaminare le impostazioni dei singoli progetti e, in caso di sospetto, revocare e rigenerare i token. Si tratta di misure suggerite dalla fonte, non di una valutazione certificata da terzi.
