Agents d'IA de programmation : un fichier d'instructions piégé dans le dossier Téléchargements suffit à les détourner
La société Forever Security a trouvé chez un client un fichier AGENTS.md malveillant dans le dossier Téléchargements : l'agent de code lancé depuis ce dossier a tenté d'installer un paquet npm piégé. Les chercheurs ont reproduit le problème avec OpenAI Codex et une technique proche avec Claude Code ; l'article a été publié le 25 octobre.
Pourquoi ça compte
Les agents lisent automatiquement les fichiers d'instructions du dossier où ils travaillent et obéissent avec tous leurs droits. Il n'y a rien à corriger chez les éditeurs : la protection dépend de la façon dont on lance l'agent.
Ce que tu dois faire
✅ Ne lance jamais un agent de code depuis ton dossier Téléchargements : ouvre-le dans le dossier du projet, relis les fichiers AGENTS.md ou CLAUDE.md inconnus et garde les demandes de confirmation activées.
Sources
← Tout le numéro du 26 octobre 2026 📬 Recevoir Le Fil par e-mail