Un fichier piégé dans le dossier Téléchargements peut détourner les assistants de code comme Claude Code
Des chercheurs ont montré qu’une page web peut déposer discrètement un fichier de consignes dans vos téléchargements. Si l’on lance ensuite un assistant de code depuis ce dossier, il obéit à ces consignes cachées.
Les assistants de code comme Claude Code ou Codex, d’OpenAI, lisent tout seuls les fichiers de consignes (nommés AGENTS.md ou CLAUDE.md) placés dans le dossier où on les lance. La société de sécurité Forever Security a trouvé chez un client un tel fichier piégé dans le dossier Téléchargements, que son assistant utilisait comme espace de travail. L’assistant a alors tenté d’installer un logiciel malveillant. Or Chrome, Edge et Firefox enregistrent par défaut tout ce qui est téléchargé à cet endroit, et une page web piégée peut y déposer ce fichier.
Les chercheurs ont reproduit l’attaque, dévoilée le 25 octobre. Avec Codex, une consigne cachée (inoffensive, pour le test) a été exécutée dans 90 % des essais. Avec Claude Code, un faux fichier a redirigé les échanges vers un serveur des chercheurs et exposé la clé d’accès au compte, avec environ 50 % de réussite. Selon Forever Security, des centaines de ses clients lancent leurs assistants depuis ce dossier, dont plus de 1 300 sessions de Claude Code. Il n’y a rien à corriger côté OpenAI ou Anthropic : l’assistant fait exactement ce pour quoi il est conçu.
Ces outils ne servent plus seulement aux développeurs : beaucoup les utilisent pour ranger des fichiers ou traiter des documents téléchargés. La règle est simple : ne jamais lancer un assistant IA depuis le dossier Téléchargements, mais depuis le dossier précis du projet, et garder activées les demandes de confirmation avant chaque action. Un document téléchargé peut contenir des ordres, pas seulement des informations.