Le piratage agents IA franchit une étape critique avec la découverte d’un vecteur d’attaque exploitant directement le dossier Téléchargements des utilisateurs. Dévoilée ce 25 octobre 2026 par les chercheurs du cabinet Forever Security, cette méthode permet de manipuler des outils autonomes comme Claude Code ou OpenAI Codex sans exploiter la moindre faille logicielle, simplement en déposant un fichier d’instructions malveillant.
Points clés de l’alerte de sécurité
- Vecteur d’attaque passif : un site web malveillant déclenche le téléchargement automatique et silencieux d’un fichier
AGENTS.mdouCLAUDE.mddans le dossier~/Downloads. - Comportement nominal détourné : dès que l’utilisateur lance son assistant en ligne de commande depuis son dossier de téléchargement, l’agent ingère automatiquement ces directives hostiles.
- Exécution de code et vol d’identifiants : le piratage agents IA atteint 90 % de réussite contre OpenAI Codex pour lancer des charges arbitraires et 50 % contre Claude Code pour dérober des jetons OAuth.
- Aucun correctif éditeur possible : les modèles appliquent fidèlement les consignes de leur répertoire de travail, respectant à la lettre leur architecture de base.
- Des milliers de postes exposés : Forever Security a déjà recensé plus de 1 300 sessions de Claude Code exécutées directement au sein de ce dossier à risque.
Table des matières
- Comment fonctionne le piratage agents IA par fichier markdown
- Claude Code, Codex, Cursor : le banc d’essai du piratage agents IA
- Tableau comparatif des vecteurs d’attaque observés
- Comment sécuriser immédiatement vos environnements de développement
- Mon avis : l’angle mort absolu de l’autonomie
- Foire aux questions sur la sécurité des agents
- Sources et références
Comment fonctionne le piratage agents IA par fichier markdown
L’ingéniosité de cette attaque repose sur une habitude courante des développeurs : ouvrir un terminal directement dans son dossier ~/Downloads pour tester un script fraîchement récupéré ou inspecter une archive. Ce dossier possède une particularité unique dans nos systèmes d’exploitation : c’est le seul emplacement où un navigateur web peut écrire automatiquement des données sans demander de confirmation systématique.
Les navigateurs les plus répandus comme Google Chrome, Mozilla Firefox ou Microsoft Edge enregistrent par défaut les pièces jointes sans afficher de boîte de dialogue de sélection d’emplacement. Les chercheurs ont ainsi prouvé qu’une simple visite sur une page web piégée peut déposer un fichier nommé AGENTS.md ou CLAUDE.md à l’insu de l’internaute. Dès lors que l’utilisateur démarre son assistant dans ce répertoire, le scénario de piratage agents IA s’enclenche immédiatement par simple lecture du contexte local.
Le fichier hostile contient des instructions impératives rédigées en langage naturel : installer un paquet npm corrompu (en l’occurrence function-color), rediriger les requêtes API vers un serveur pirate ou inspecter les variables d’environnement. Comme l’ont souligné les équipes de recherche, les éditeurs ne peuvent pas publier de patch magique : l’assistant fait exactement ce pour quoi il a été conçu, c’est-à-dire lire la configuration locale de son espace de travail.
Cette vulnérabilité comportementale démontre que le piratage agents IA ne nécessite aucun exploit binaire complexe. Ce risque structurel rappelle les enjeux d’exécution que nous avions déjà abordés lors de notre analyse des déploiements chez OpenAI et Anthropic, où la rapidité d’adoption dépasse parfois la prudence technique élémentaire.
Claude Code, Codex, Cursor : le banc d’essai du piratage agents IA
Pour mesurer la portée réelle du danger, l’équipe de Forever Security a reconstitué plusieurs chaînes d’exploitation sur les principaux outils du marché. Les résultats confirment que le risque de piratage agents IA n’est pas une vue de l’esprit théorique mais une menace immédiate pour les postes de travail professionnels.
Sur OpenAI Codex, la tentative d’exécution de code a atteint un taux de réussite de 90 % en utilisant une charge inoffensive ouvrant la calculatrice du système. L’agent a docilement interprété les consignes du fichier AGENTS.md, validant les commandes d’installation sans déclencher d’alerte bloquante pour l’utilisateur. L’isolation logicielle prévue par l’environnement s’est révélée inopérante face à une directive textuelle explicite.
Dans le cas de Claude Code d’Anthropic, les chercheurs ont utilisé un fichier CLAUDE.md conçu pour détourner le trafic API vers un serveur mandataire distant sous leur contrôle. Cette manipulation a permis d’exposer le jeton d’authentification OAuth de la session. Dans environ 50 % des cas, le serveur pirate a pu se faire passer pour le modèle distant et renvoyer des appels d’outils arbitraires que l’agent local a exécutés sur la machine cible.
Ces constatations interviennent alors même qu’Anthropic vante la robustesse de ses modèles comme nous l’avons vu avec Claude et la vérification formelle. Elles prouvent que le piratage agents IA contourne la solidité algorithmique en s’attaquant directement au périmètre de fichiers de la machine hôte.
Tableau comparatif des vecteurs d’attaque observés
Pour mieux comprendre l’exposition de vos différents outils de travail et prévenir tout piratage agents IA, voici le récapitulatif des tests menés par les chercheurs :
| Outil analysé | Fichier d’instructions ciblé | Impact technique démontré | Taux de succès du piratage agents IA |
|---|---|---|---|
| OpenAI Codex | AGENTS.md | Exécution de commandes shell et installation npm | 90 % de réussite |
| Claude Code | CLAUDE.md | Fuite de jeton OAuth et interception du trafic API | 50 % de compromission |
| Cursor CLI | AGENTS.md / .cursorrules | Lecture et transmission de variables secrètes | Vecteur confirmé |
| Navigateurs sans validation | Chrome, Edge, Firefox | Dépôt silencieux sans boîte de dialogue | 100 % passif |
Les statistiques internes de télémétrie révèlent que cette pratique est particulièrement répandue : plus de 1 300 sessions de Claude Code ont été ouvertes depuis le répertoire Téléchargements parmi les entreprises clientes surveillées. C’est un point de vigilance majeur pour quiconque pilote des flux de travail autonomes via les plateformes récentes comme Google AI Studio Agents.
Comment sécuriser immédiatement vos environnements de développement
Face à ce scénario où aucun correctif logiciel ne peut combler la faille à la racine, la responsabilité de la protection revient directement aux utilisateurs et aux administrateurs de systèmes. Pour neutraliser toute tentative de piratage agents IA, OpenAI et Anthropic recommandent formellement plusieurs règles d’hygiène numérique strictes :
Premièrement, il ne faut jamais lancer un assistant en ligne de commande depuis la racine de son dossier personnel ou depuis ~/Downloads. La bonne pratique consiste à restreindre scrupuleusement le périmètre d’exécution au dossier spécifique du projet concerné, par exemple un sous-dossier dédié au sein de votre répertoire de travail habituel.
Deuxièmement, configurez impérativement votre navigateur web pour qu’il demande systématiquement où enregistrer chaque fichier avant le téléchargement. Les navigateurs axés sur la confidentialité comme Brave bloquent par défaut ces écritures transparentes, empêchant un site pirate de déposer un script furtif à votre insu.
Enfin, prenez l’habitude d’inspecter visuellement tout fichier AGENTS.md ou CLAUDE.md présent dans un dépôt cloné ou une archive avant d’autoriser votre assistant à s’y connecter. Maintenez toujours activées les demandes de confirmation manuelle pour les commandes système sensibles et le mode bac à sable.
Mon avis : l’angle mort absolu de l’autonomie
Éditorial : cette section exprime mon opinion.
On nous promet des assistants capables de réécrire des bases de code entières, et il suffit d’un fichier texte de trois lignes dans ton dossier Téléchargements pour transformer ton terminal en passoire. La démonstration de Forever Security est cruelle parce qu’elle ne cible pas un bogue complexe : elle exploite exactement le fonctionnement prévu par les concepteurs. L’assistant lit des instructions pour t’aider, alors il obéit docilement au pirate qui a glissé sa feuille de route dans ton dos.
Ce qui me fascine, c’est l’aveuglement collectif sur ces fichiers de configuration locaux. On a passé deux ans à blinder les invites de commande contre les attaques par injection de requêtes textuelles sur les interfaces web, tout en laissant des fichiers Markdown piloter des terminaux avec un accès complet en écriture sur nos disques durs. C’est le grand écart entre la théorie marketing et la réalité du poste de travail.
Prends deux minutes dès aujourd’hui pour vérifier les paramètres de ton navigateur et interdire les téléchargements silencieux. Face à cette nouvelle forme de piratage agents IA, garde tes assistants enfermés dans des conteneurs étanches : l’autonomie sans isolation n’est pas un progrès, c’est une invitation ouverte aux ennuis.
En quoi consiste le piratage agents IA via le dossier Téléchargements ?
Cette attaque consiste à faire déposer silencieusement un fichier d’instructions (AGENTS.md ou CLAUDE.md) par un site web dans le dossier Téléchargements. Dès que l’utilisateur lance son assistant dans ce répertoire, l’agent exécute les consignes hostiles.
Quels outils de programmation ont été testés par les chercheurs ?
Les chercheurs de Forever Security ont reproduit avec succès l’attaque sur OpenAI Codex avec 90 % de réussite pour exécuter du code, ainsi que sur Claude Code pour intercepter des jetons d’authentification OAuth.
OpenAI et Anthropic peuvent-ils corriger cette vulnérabilité ?
Non, car il ne s’agit pas d’un bogue logiciel classique mais du comportement nominal de l’agent, conçu pour charger et exécuter les instructions de configuration présentes dans son répertoire de travail courant.
Comment se prémunir efficacement contre cette menace ?
Il faut impérativement restreindre l’exécution des assistants au dossier strict du projet, activer la confirmation manuelle de téléchargement dans son navigateur et inspecter tout fichier Markdown d’instructions inconnu.