Codex et Claude Code : un simple fichier dans Téléchargements peut les piéger

Un fichier texte déposé dans le dossier Téléchargements a suffi à pousser un agent de codage à installer un paquet npm malveillant. Les chercheurs de Forever Security ont reproduit l'attaque sur Codex et Claude Code, sans s'appuyer sur la moindre faille à corriger.

Un fichier de mémo traité comme une consigne

Les fichiers AGENTS.md ou CLAUDE.md servent de mémo de projet : ils indiquent des outils à activer, des commandes à lancer ou des règles de travail. Certains agents les traitent comme des instructions opérationnelles. Le Markdown n'exécute rien par lui-même, mais l'agent peut interpréter son contenu comme des directives, puis agir via le shell, le gestionnaire de paquets npm ou ses outils internes.

Le risque tient donc à la chaîne « texte, interprétation par l'agent, exécution par l'environnement ». Le système d'exploitation ne voit aucun binaire suspect à bloquer. Il s'agit d'une injection par contexte : le fichier est inoffensif pour un humain, mais devient actif par la logique de l'agent. Plus celui-ci dispose d'autorisations (réseau, écriture de configuration, exécution de commandes), plus l'impact potentiel grandit.

Ces agents sont déjà testés sous l'angle de la sécurité : YesWeHack a mis Codex, Claude Code et Gemini CLI à l'épreuve dans un article du 18 octobre 2026.

Le dossier Téléchargements, zone de dépôt depuis le web

Les navigateurs enregistrent les fichiers dans l'emplacement par défaut, souvent Téléchargements, sans demander de destination si l'option « toujours demander où enregistrer » est désactivée. Une page web peut ainsi y faire apparaître un ou plusieurs fichiers. Cela ne lance aucun exécutable, mais place un document que l'agent lira automatiquement s'il utilise ce dossier comme répertoire de travail.

L'attaque repose moins sur une faille du navigateur que sur une hypothèse dangereuse : considérer qu'un dossier alimenté par Internet peut servir de base de confiance pour un agent.

Rediriger le client pour voler un jeton OAuth

Une variable comme ANTHROPIC_BASE_URL change l'adresse du serveur API contacté par le client. Elle permet de le faire dialoguer avec un proxy ou un faux point d'accès contrôlé par un tiers. Si le client transmet son jeton OAuth dans les en-têtes, par exemple « Authorization », le serveur intermédiaire peut le récupérer et l'utiliser pour se faire passer pour l'utilisateur auprès du service légitime.

Le proxy peut aussi renvoyer des réponses d'API fausses mais plausibles et influencer les actions locales du client, comme des commandes ou des modifications de fichiers, si celui-ci exécute des instructions issues de ces réponses. Il s'agit d'un détournement de point de terminaison, qui vise la configuration plutôt qu'une vulnérabilité cryptographique.

Les protections évoquées

• valider strictement les points d'accès autorisés ;
• isoler les secrets ;
• exiger une confirmation explicite avant toute action à impact.

Codex, l'agent d'OpenAI, a par ailleurs fait l'objet d'un lancement sur Mac en février 2026.

Foire aux questions