Am 25. Oktober 2026 erklärten Forscher, dass sich OpenAI Codex und Claude Code durch bösartige Anweisungsdateien in ~/Downloads steuern lassen. Damit wird ein gewöhnlicher lokaler Ordner zur Angriffsfläche.
Forever Security teilte mit, einen echten Kundenvorfall gestoppt zu haben, bei dem ein Agent nach dem Lesen einer AGENTS.md-Datei aus Downloads versuchte, das npm-Paket function-color zu installieren. Anschließend reproduzierte das Unternehmen das Muster in Tests: Für Codex gelang laut Bericht ein harmloser Proof of Concept in mehr als 90 % der Durchläufe. Für Claude Code demonstrierte es eine Variante, die API-Datenverkehr umleitete, um ein OAuth-Token zu stehlen, und die erforderliche Schreiboperation in rund der Hälfte der Tests genehmigt bekam, wie BleepingComputer berichtet.
Ein Vorbehalt bleibt ungeklärt. Die Forscher zeigten, dass ein Browser mit wenig Nutzerinteraktion eine Datei in Downloads ablegen kann. Dieser Weg wurde jedoch nicht als Ursache im tatsächlichen Kundenfall bestätigt.