Em 2026-10-25, pesquisadores disseram que o OpenAI Codex e o Claude Code podem ser direcionados por arquivos de instrução maliciosos colocados em ~/Downloads, transformando uma pasta local comum em uma superfície de ataque.
A Forever Security afirmou ter interrompido um incidente real de cliente em que um agente tentou instalar o pacote npm function-color após ler um arquivo AGENTS.md em Downloads. Em seguida, a empresa reproduziu o padrão em testes: para o Codex, relatou que uma prova de conceito inofensiva teve sucesso em mais de 90% das execuções. Para o Claude Code, demonstrou uma variante que redirecionava o tráfego de API para roubar um token OAuth e obteve a aprovação da gravação necessária em cerca de metade dos testes, segundo o BleepingComputer.
Uma ressalva continua sem solução. Os pesquisadores mostraram que um navegador poderia colocar um arquivo em Downloads com pouco atrito para o usuário, mas esse caminho ainda não foi confirmado como a rota usada no caso real do cliente.