Arquivo AGENTS.md na pasta Downloads sequestra agentes de código

Um arquivo de texto que parece inofensivo pode virar uma ordem para o seu assistente de programação. A Forever Security, empresa que monitora riscos de agentes de IA, publicou na quinta-feira (22) uma pesquisa em que descreve um ataque real: um arquivo AGENTS.md malicioso, largado na pasta ~/Downloads de um cliente, que tentou fazer um agente de código instalar um pacote de malware. A pesquisa original foi retomada neste domingo (25) pelo site BleepingComputer, que também confirmou a parte da pesquisa que dá para testar sem risco.

O que a Forever Security encontrou

Segundo os pesquisadores Gal Weizman e Omer Samet, o alerta começou quando a plataforma da empresa barrou, no meio de uma sessão, um agente de código que ia instalar o function-color, um pacote malicioso do npm de uma campanha que passou quase dois anos sem ser notada, até ser documentada publicamente. Instalar pacote ruim é um problema comum. O que chamou a atenção foi a origem da ordem: não veio de uma dependência nem de um repositório, mas de um AGENTS.md na pasta Downloads do cliente.

O arquivo se passava por um documento de "diretrizes de engenharia", longo e banal, com uma única seção perto do fim, apresentada como preparação de ambiente. Essa seção mandava o agente registrar, na configuração dele mesmo, um suposto servidor de ferramentas do projeto, que na prática disparava a instalação do pacote malicioso. Ninguém sabe quem colocou o arquivo ali.

Por que a pasta Downloads é o ponto fraco

O AGENTS.md, e arquivos parecidos como o CLAUDE.md, existem para dar instruções a agentes: quais comandos de teste rodar, que convenções seguir, quais ferramentas usar. O agente foi feito para obedecer a esse arquivo na pasta em que é aberto. Em uma pasta de projeto que você controla, isso é bom, porque você viu o conteúdo e confia nele.

A Downloads é diferente. Para os pesquisadores, é a única pasta em que a web consegue gravar sozinha. Chrome, Edge e Firefox salvam downloads ali por padrão, sem perguntar, e só mostram uma notificação. O BleepingComputer testou uma página de demonstração que baixou em silêncio um AGENTS.md com texto inofensivo. O Brave, que pede aprovação antes de baixar, foi a exceção. Os pesquisadores resumem a ideia numa frase: Markdown é o novo executável. O arquivo não é um programa, então as proteções que o sistema operacional aplica a executáveis não se aplicam, mas, nas mãos de um agente, as instruções dele são cumpridas.

O que os testes mostraram no Codex e no Claude Code

A equipe reproduziu o ataque em duas ferramentas, segundo a pesquisa e o relato do BleepingComputer:

• OpenAI Codex: usando o arquivo real encontrado no cliente, dentro de uma máquina virtual isolada, o Codex executou o código do atacante em mais de 90% das tentativas. O agente editou o arquivo de configuração global dele (~/.codex/config.toml), o que faz o servidor malicioso ser carregado em qualquer pasta e em qualquer projeto depois disso. Com uma carga inofensiva que apenas abria a calculadora, o BleepingComputer registra 90% de sucesso.
• Claude Code: um CLAUDE.md malicioso redirecionou o tráfego de API do agente para um servidor controlado pelos pesquisadores. Isso expôs o token de login do agente e permitiu devolver chamadas de ferramenta que executaram código em cerca de 50% dos testes.

A empresa diz que não há o que a OpenAI ou a Anthropic corrigirem, porque os agentes fizeram exatamente o que foram projetados para fazer. O risco está na circunstância: uma pasta onde a web escreve, tratada como se fosse sua. Também alerta que o ataque não exige clique nem erro de ninguém, e que pode acontecer sem ninguém olhando quando o próprio agente navega pela internet e visita um site.

Quantas pessoas trabalham assim

A Forever diz que, na telemetria dela, cerca de metade dos clientes roda um agente de código dentro da pasta Downloads, e que aproximadamente um quarto das sessões de agente abre um navegador de verdade. Segundo o BleepingComputer, só o Claude Code teve mais de 1.300 sessões iniciadas nesse local, e também aparecem Codex e Cursor CLI. Esses números são da própria empresa de segurança, vêm da base de clientes dela e não foram verificados por terceiros. Também vale lembrar que o ataque exige que alguém abra o agente exatamente naquela pasta, o que, segundo os pesquisadores, é comum quando se pede à IA para organizar ou processar downloads.

Como se proteger

As recomendações que aparecem na cobertura são simples e servem para qualquer ferramenta de agente:

• não abra o agente na pasta Downloads, na sua pasta pessoal nem em pastas muito amplas;
• inicie o agente sempre na raiz do projeto em que ele vai trabalhar, como a OpenAI e a Anthropic já recomendam;
• leia qualquer AGENTS.md, CLAUDE.md ou arquivo parecido que você não escreveu antes de deixar o agente segui-lo;
• mantenha ligados os pedidos de aprovação e a proteção de sandbox;
• teste código desconhecido em ambiente isolado antes de rodar na sua máquina principal.

Por que isso importa para você

Se você usa um agente de código para trabalhar, seja para programar, automatizar planilhas ou organizar arquivos, ele tem as mesmas permissões que você na sua máquina. Uma instrução escondida em arquivo de texto pode usar essas permissões para instalar programas, mexer em configurações ou expor o seu acesso. O hábito de abrir o agente "onde estiver" é cômodo e, a partir de agora, é um risco documentado.

Para quem presta serviço com IA, esse cuidado também é profissional: se você cria automações para clientes, trabalha com arquivos recebidos deles ou monta agentes personalizados, um acesso comprometido vira problema do cliente. Vale ler o guia de prompt injection, o risco de a IA ler páginas e e-mails, que explica a mesma família de ataque, e o checklist para escolher uma ferramenta de IA com segurança. Quem pretende vender esse tipo de trabalho encontra um ponto de partida em como criar e vender agentes de IA personalizados.

O tema conversa com outras notícias recentes sobre segurança de agentes: sites que já escondem ordens para agentes em cabeçalhos HTTP, o agente atacante que sequestra modelos expostos e a plataforma 1Password for Agents, que tenta resolver o acesso de agentes a contas sem entregar a senha. O padrão é o mesmo: quanto mais autonomia o agente ganha, mais vale cuidar do que ele lê e de onde ele roda.