---
title: "Um AGENTS.md plantado na pasta Downloads fez o Codex rodar malware"
publication: "Need More Context"
type: notícia
date: 2026-10-26
fact_date: 2026-10-22
category: agentes
language: pt-BR
url: https://needmorecontext.com/noticias/agents-md-downloads-codex-claude-code/
markdown: https://needmorecontext.com/noticias/agents-md-downloads-codex-claude-code.md
summary: "Segundo a Forever Security, um site consegue salvar instruções na Downloads sem clique, e o agente de código aberto ali obedece."
sources:
  - https://forever.security/blog/hijacking-ai-agents-via-downloads-folder/
  - https://www.bleepingcomputer.com/news/security/ai-coding-agents-hijacked-using-agentsmd-file-in-downloads-folder/
---

# Um AGENTS.md plantado na pasta Downloads fez o Codex rodar malware

*Need More Context, notícia de 26 de outubro de 2026. Agentes.*

> Segundo a Forever Security, um site consegue salvar instruções na Downloads sem clique, e o agente de código aberto ali obedece.

A Forever Security diz ter achado, no computador de um cliente, um `AGENTS.md` (o arquivo de instruções que agentes como Codex e Claude Code seguem na pasta onde são abertos) disfarçado de nota técnica dentro da `~/Downloads`. Ele mandava o agente instalar o `function-color`, pacote npm malicioso já removido do npm. A empresa bloqueou antes de rodar.

A Downloads é a pasta onde um site consegue salvar um arquivo sem clique. Reproduzindo o ataque, segundo a Forever, o Codex rodou o malware em mais de 90% das tentativas e gravou o servidor do atacante no `~/.codex/config.toml`, que vale pra máquina toda. No Claude Code, que pede aprovação pra esse tipo de escrita, o arquivo conseguiu pôr um `ANTHROPIC_BASE_URL` falso no `.claude/settings.json` em cerca de metade dos testes, vazando o token de login. A Forever vende proteção contra esse tipo de ataque, e os números não têm verificação independente.

**Por que importa:** Não tem patch pra esperar: o agente faz exatamente o que foi feito pra fazer, obedecer o arquivo da pasta. A pasta onde você abre o agente decide quem manda nele.

💡 Nunca abra o agente na Downloads e confira se `~/.codex/config.toml` ou `.claude/settings.json` têm servidor MCP ou URL base que você não colocou. Achou algo? Troque o token.

**Fontes:** Forever Security, [forever.security](https://forever.security/blog/hijacking-ai-agents-via-downloads-folder/), [bleepingcomputer.com](https://www.bleepingcomputer.com/news/security/ai-coding-agents-hijacked-using-agentsmd-file-in-downloads-folder/)

---

Resumo da semana por e-mail: https://needmorecontext.beehiiv.com/subscribe
Todas as notícias: https://needmorecontext.com/noticias/ · RSS: https://needmorecontext.com/noticias/feed.xml · JSON Feed: https://needmorecontext.com/noticias/feed.json