Un file di testo nella cartella Download può diventare un ordine per il tuo agente di codice. Il 22 ottobre 2026 i ricercatori di Forever Security hanno pubblicato un’analisi in cui un file AGENTS.md (per Codex di OpenAI) o CLAUDE.md (per Claude Code di Anthropic), lasciato in quella cartella, spinge l’agente a modificare la propria configurazione, installare un pacchetto malevolo o inviare il token di accesso a un server esterno. Non serve un virus: basta del testo che l’agente legge perché è fatto per leggerlo.
In breve
- Cosa è successo: Forever Security ha trovato un AGENTS.md malevolo nella cartella Download di un suo cliente e lo ha poi riprodotto in laboratorio su Codex e Claude Code (rapporto originale, 22 ottobre 2026).
- Perché funziona: gli agenti leggono all’avvio i file di istruzioni della cartella in cui lavorano e li trattano come indicazioni legittime.
- Cosa rischi: un pacchetto malevolo installato, una configurazione globale alterata, un token OAuth di Claude rubato.
- Cosa fare oggi: non avviare mai un agente nella cartella Download, leggere ogni file di istruzioni che non hai scritto tu, tenere attivi approvazioni e sandbox.
I numeri del rapporto, in una riga ciascuno
- Oltre il 90% dei tentativi su Codex ha avuto successo nei test dei ricercatori, quasi sempre con un payload innocuo.
- Circa il 50% dei tentativi su Claude Code ha riscritto le impostazioni.
- Circa 1 caso su 5 ha portato a esecuzione di codice nella stessa sessione di Claude Code, tramite un subagente.
- Circa la metà dei clienti di Forever Security avvia un agente di codice dalla cartella Download.
- Oltre 1.300 sessioni di Claude Code avviate in quella cartella, secondo il ricercatore Gal Weizman.
- 13 KB pesava il file trovato nel caso reale; il pacchetto collegato è descritto come inosservato per circa 2 anni.
Sono numeri dei ricercatori, non misure indipendenti: più sotto spiego cosa significano e cosa no.
Cosa hanno dimostrato i ricercatori di Forever Security
Secondo il rapporto, il caso nasce da un fatto reale: nella cartella Download di un cliente c’era un AGENTS.md che induceva un agente a installare un pacchetto npm malevolo chiamato function-color. Da lì i ricercatori hanno costruito delle prove in ambiente controllato.
| Strumento | Cosa fa il file malevolo | Esito dichiarato dai ricercatori |
|---|---|---|
| Codex (OpenAI) | Fa modificare la configurazione globale, così che un server malevolo si carichi a ogni sessione | Oltre il 90% dei tentativi nei loro test, quasi sempre con un payload innocuo al posto del malware |
| Claude Code (Anthropic) | Fa scrivere nelle impostazioni la variabile ANTHROPIC_BASE_URL verso un server controllato dai ricercatori, che incamera il token OAuth | Scrittura della configurazione riuscita circa nel 50% dei casi; esecuzione di codice nella stessa sessione, tramite un subagente, circa in un caso su cinque |
Con il token OAuth catturato chi lo ruba può agire a nome della vittima finché il token non viene revocato. Con Codex, essendo la configurazione globale, il server malevolo resta caricato anche nelle sessioni successive, in qualunque cartella.
Quanto è diffuso l’uso degli agenti nella cartella Download?
Sempre secondo Forever Security, circa la metà dei suoi clienti avvia un agente di codice proprio da quella cartella. Il suo ricercatore Gal Weizman ha dichiarato che il solo Claude Code vi è stato avviato in oltre 1.300 sessioni. Il file trovato nel caso reale pesava 13 KB e il pacchetto function-color è descritto come parte di una campagna passata inosservata per circa due anni (Martin Cid Magazine, 26 ottobre 2026). Sono numeri dei ricercatori, non misure indipendenti.
Cosa è provato e cosa no
Conviene essere precisi, perché il titolo di certi articoli suona più grave del rapporto.
- Le percentuali di successo vengono dai test dei ricercatori, non da dati raccolti sul campo, e non sono state convalidate in modo indipendente (lo sottolinea l’analista IDC citata da InfoWorld, 26 ottobre 2026, che presenta la ricerca come un segnale d’allarme credibile e non come prova di sfruttamento diffuso).
- Quasi tutte le prove usavano un sostituto innocuo; il pacchetto reale è stato eseguito una sola volta, in una macchina virtuale isolata.
- L’attacco richiede che l’agente venga avviato proprio in quella cartella e, per Codex, che la cartella sia considerata attendibile.
- Non è stato stabilito come il file sia arrivato sul computer del cliente.
- Che non ci sia nulla da correggere per OpenAI o Anthropic è una valutazione dei ricercatori, non una posizione dei produttori: nessuna delle fonti che ho letto riporta una loro dichiarazione.
- Forever Security si presenta come un’azienda nata per sorvegliare gli agenti, quindi ha un interesse nel tema. Il rapporto resta dettagliato, ma è bene saperlo.
Perché riguarda anche chi non è uno sviluppatore
Gli agenti di codice stanno entrando negli studi professionali e nelle PMI: li usa chi si automatizza un foglio, un sito, un gestionale. Chi li usa spesso apre il terminale dove capita, e la cartella Download è il primo posto in cui si trova un file appena scaricato.
Il rischio non è il codice che scrivi tu: è un’istruzione che qualcun altro ha messo in un file che l’agente considera parte del tuo progetto. Se vuoi capire cosa fa davvero uno di questi strumenti prima di darlo a un team, ne ho parlato in Claude Code: cos’è e come si usa, spiegato a un imprenditore.
Cosa ho imparato io lavorando ogni giorno con gli agenti
Io costruisco e uso ogni giorno un sistema di agenti AI, sorvegliato da controlli automatici e test, e scrivo le lezioni dei miei errori. Nel mio lavoro ho visto che un agente fa quello che trova scritto: il problema non è quasi mai l’agente, è cosa gli ho messo davanti. Ho sbagliato più volte partendo da una cartella comoda invece che da una cartella di progetto, e ho imparato a non farlo più.
Per questo i file di istruzioni li tratto come codice: li scrivo io, li rileggo io, e l’agente parte solo da una cartella dedicata. Dove un gesto tocca soldi, credenziali o terzi c’è un punto in cui decide una persona. Ne ho scritto in Gate umano: dove un agente AI non deve mai decidere da solo e in Agenti AI in produzione: cosa si rompe davvero.
Checklist da applicare oggi
- Cartelle di lavoro isolate. Un agente parte solo dalla cartella del progetto, mai dalla cartella Download, dal Desktop o dalla home.
- Leggi i file di istruzioni. Ogni AGENTS.md o CLAUDE.md che non hai scritto o riletto tu è codice di qualcun altro: aprilo prima di far lavorare l’agente.
- Controlla le configurazioni. In Codex, cerca nel file di configurazione globale blocchi di server MCP che non hai aggiunto. In Claude Code, cerca nelle impostazioni un indirizzo API (ANTHROPIC_BASE_URL) o un proxy che non hai impostato.
- Permessi minimi. Lascia attive le richieste di approvazione e la sandbox. Diffida di qualunque file che ti invita a disattivarle.
- Token con scope ridotto. Dove puoi, usa credenziali a vita breve e limitate a ciò che serve; non tenere nell’ambiente dell’agente chiavi di produzione.
- Se trovi qualcosa di sospetto, ruota. Revoca il token e cambia le credenziali: parti dal presupposto che siano state copiate. Il pacchetto function-color è l’indicatore di compromissione citato nel rapporto.
Domande frequenti
Un file AGENTS.md può davvero far eseguire un malware a Claude Code?
Nei test di Forever Security un CLAUDE.md malevolo ha fatto modificare le impostazioni di Claude Code in circa la metà dei casi, con esecuzione di codice nella stessa sessione in circa un caso su cinque. Sono risultati di laboratorio degli autori, non misure sul campo.
Devo smettere di usare Claude Code o Codex?
No. Il rischio dipende da dove avvii l’agente e da cosa lasci fare ai permessi. Con cartelle di progetto dedicate, file di istruzioni riletti e approvazioni attive, l’attacco descritto perde la strada più facile.
Come capisco se la mia configurazione è stata alterata?
Cerca server MCP che non riconosci nella configurazione globale di Codex e un indirizzo API o un proxy non impostato da te nelle impostazioni di Claude Code. Se li trovi, revoca il token e ruota le credenziali.
Anthropic e OpenAI hanno già corretto il problema?
Nelle fonti che ho letto non c’è una dichiarazione dei due produttori. I ricercatori sostengono che non ci sia un difetto da correggere, perché l’agente fa ciò per cui è progettato: leggere i file di istruzioni. Controlla le pagine ufficiali dei produttori per aggiornamenti.
