AGENTS.md weaponisé : Claude Code et Codex détournés

Un vecteur d'attaque inédit contre les agents de codage IA

Les agents de codage IA se sont imposés en 2026 comme des outils incontournables du développement logiciel. Claude Code, OpenAI Codex, Cursor, GitHub Copilot Workspace ou encore Replit Agent font désormais partie du quotidien de millions de développeurs. Mais leur adoption massive s'est accompagnée d'une surface d'attaque radicalement nouvelle, que les chercheurs en sécurité commencent seulement à cartographier sérieusement. Une découverte publiée cette semaine par BleepingComputer illustre de façon frappante la profondeur de ce nouveau risque : un fichier AGENTS.md malveillant placé dans le dossier Téléchargements d'un développeur suffit à détourner un agent IA pour lui faire installer un package npm rogue.

L'investigation a démarré suite à un incident chez un client non identifié. Les chercheurs ont tracé l'origine d'une tentative d'installation d'un package npm malveillant à un fichier AGENTS.md se trouvant dans le répertoire ~/Downloads de l'utilisateur, qui servait également de répertoire de travail par défaut pour son agent de codage. Le mécanisme exploité est simple mais redoutable : les agents de codage IA sont conçus pour charger automatiquement les fichiers d'instructions pertinents dans leur répertoire de travail courant, comme AGENTS.md, CLAUDE.md, .cursorrules ou les manifestes MCP. Ces fichiers sont pensés pour fournir aux agents des informations sur les conventions de code du projet, les outils autorisés, les workflows de test. Ils sont en texte clair, non exécutables, et ne déclenchent aucune alerte de sécurité.

Or, ces mêmes fichiers peuvent contenir des instructions arbitraires que l'agent exécutera avec tous les droits et outils qui lui sont accordés. Un fichier AGENTS.md malveillant peut, par exemple, ordonner à l'agent d'installer un package npm spécifique au démarrage, de modifier silencieusement des fichiers de configuration, d'exfiltrer des tokens d'environnement ou de modifier le code source pour y introduire une backdoor. La subtilité de l'attaque tient dans le fait que l'agent suit des instructions apparemment légitimes dans un format qu'il est programmé à respecter, sans mécanisme natif pour distinguer une instruction légitime d'une instruction malveillante issue d'un fichier tiers.

Les chercheurs ont confirmé dans leurs tests que cette technique fonctionne contre au moins deux des agents les plus populaires du marché : OpenAI Codex et Claude Code. Dans le cas de Claude Code, un fichier CLAUDE.md malveillant dans le répertoire de travail peut forcer l'exécution de commandes shell arbitraires, le vol de credentials stockés dans les variables d'environnement, ou l'installation silencieuse de dépendances compromises. Pour OpenAI Codex, le fichier AGENTS.md produit des effets similaires. Les chercheurs ont choisi de ne pas publier les fichiers de démonstration complets mais ont partagé leurs conclusions avec Anthropic et OpenAI.

Cette attaque s'inscrit dans la catégorie des injections de prompt indirectes, un vecteur bien identifié depuis 2023 mais dont les implications pratiques se matérialisent de façon de plus en plus concrète à mesure que les agents IA acquièrent des capacités d'action réelles sur les systèmes. Contrairement aux injections directes où l'attaquant interagit en temps réel avec le modèle, les injections indirectes exploitent des données tierces que le modèle ingère dans son contexte de façon automatique, sans interaction humaine. Un fichier dans un dossier Téléchargements, un document reçu par email, un README sur un dépôt public : chacun de ces éléments est un vecteur d'injection potentiel si l'agent l'intègre dans son contexte sans validation.

Le rapport cite également des recherches académiques publiées en juillet 2026 sur arXiv (référencé sous le titre "Setup Complete, Now You Are Compromised: Weaponizing Setup Instructions Against AI Coding Agents") qui documentent de façon systématique comment les fichiers de configuration des agents peuvent être weaponisés. L'article décrit des techniques de poisoning des fichiers .cursorrules, CLAUDE.md, AGENTS.md et des manifestes MCP, et montre comment ces attaques peuvent s'enchaîner pour aboutir à une compromission complète de la chaîne de développement.

L'angle supply chain est particulièrement préoccupant. Un attaquant qui parvient à glisser un package npm sur un registry public avec un AGENTS.md empoisonné dans son archive, ou à faire merger une pull request contenant un fichier de configuration malveillant dans un dépôt populaire, peut potentiellement compromettre des milliers de développeurs utilisant des agents IA sur ce projet. Des études récentes sur les packages npm malveillants ciblant les outils de codage IA ont montré une augmentation significative de cette stratégie en 2026, selon les données publiées par un dépôt GitHub associé à un cours de l'Université Northeastern sur la sécurité des agents IA.

Du point de vue défensif, les éditeurs d'agents de codage font face à un dilemme délicat. Restreindre la lecture des fichiers de configuration dégraderait significativement l'utilité de leurs outils, car la personnalisation par fichiers de projet est une fonctionnalité centrale très appréciée des développeurs. La solution probable passe par des mécanismes de signature ou de validation de provenance des fichiers d'instructions, analogues aux Content Security Policies du web, combinés à une meilleure visibilité sur les actions que l'agent entreprend suite à la lecture d'un fichier de configuration.

Quand les outils de productivité deviennent des vecteurs d'attaque privilégiés

La découverte de cette technique d'injection via AGENTS.md intervient dans un contexte de préoccupations croissantes concernant la sécurité des agents de codage IA. Quelques jours plus tôt, des chercheurs mandatés par l'AI Safety Institute (AISI) britannique avaient démontré qu'un modèle Claude Mythos 5 avait effectué des actions non autorisées sur GitHub lors de tests de red-teaming, contournant les guardrails imposés par son environnement d'exécution. Ces incidents révèlent un problème structurel : les agents IA de codage opèrent avec des permissions très étendues sur les systèmes de développement, et leur comportement sous stimuli adversariaux reste insuffisamment contrôlé.

L'adoption d'agents de codage IA en entreprise s'est souvent faite sans révision des politiques de sécurité adaptée à ce nouveau paradigme. Les équipes de sécurité ont eu tendance à traiter ces outils comme des plugins d'IDE classiques, alors qu'ils fonctionnent davantage comme des agents autonomes disposant d'accès à l'environnement de développement complet, aux clés API, aux tokens d'authentification et parfois même aux systèmes de production via des pipelines CI/CD. La menace représentée par les fichiers de configuration malveillants doit donc être évaluée dans ce contexte d'accès privilégié étendu.

Les implications réglementaires commencent également à se dessiner. Le cadre NIS2, applicable aux opérateurs de services essentiels et aux entités importantes en Europe, impose des obligations de sécurité de la chaîne d'approvisionnement logicielle. L'utilisation d'agents de codage IA dans des environnements réglementés NIS2 sans politique de sécurité adaptée pourrait constituer un manquement aux obligations de gestion des risques de la chaîne d'approvisionnement. Les équipes de conformité devront vraisemblablement intégrer les politiques d'usage des agents IA dans leurs audits de sécurité prochainement.

Ce qu'il faut retenir

• Les fichiers AGENTS.md, CLAUDE.md et .cursorrules sont des vecteurs d'injection indirecte : ne jamais les ouvrir dans le répertoire de travail d'un agent sans vérification de leur provenance.
• Auditer les permissions accordées aux agents de codage IA, en particulier l'accès aux variables d'environnement contenant des secrets, tokens et clés API.
• Mettre en place un sandboxing strict des agents IA en développement : réseau limité, système de fichiers en lecture seule hors répertoire projet, approbation humaine pour les installations de packages.