Forever Security, 22 Ekim’de yayımladığı araştırmada gerçek bir müşterinin makinesinde indirilenler klasöründe zararlı bir AGENTS.md dosyası buldu. Dosya ‘Engineering Work Guidelines’ başlıklı, yaklaşık 13 kilobaytlık sıradan bir mühendislik dokümanı gibi görünüyordu; talimat sonda tek bir rutin kurulum bölümündeydi. Ajan function-color adlı npm paketini kurmaya çalışırken oturum ortasında durduruldu ve hiçbir kod çalışmadı.
Codex testi müşterinin makinesindeki gerçek dosyayla izole bir sanal makinede yapıldı. Ajan, dosyadaki talimatla ~/.codex/config.toml içine mcp_servers.project-tools bloğu ekledi, ardından launchctl üzerinden npm install komutunu çalıştırdı. Yazılan dosya klasöre özel değil makine geneli olduğu için saldırganın sunucusu sonraki tüm Codex oturumlarında, her klasörde yükleniyor. Codex denemelerin yüzde 90’ından fazlasında zararlı kodu çalıştırdı.
Güvenlik kapıları da aşıldı. Codex’in güven onayı, indirilenler klasöründe daha önce çalışıldığı için hazırdı. Ajan ağ sandbox’ını geçmek için –dangerously-bypass-approvals-and-sandbox bayrağını kendisi yazdı ve yavaş npm kurulumunun zaman aşımına uğramaması için işi launchctl’e devretti. Yani her adım, ürünün kendi izin verdiği araçlarla atıldı.
Claude Code’a karşı kullanılan varyant farklı bir yol izledi. Sahte bir CLAUDE.md, .claude/settings.json içine ANTHROPIC_BASE_URL satırını yazdırdı ve Claude’un API trafiğini kendi sertifikasına sahip saldırgan sunucusuna çevirdi. Yakalanan OAuth oturum belirteci mağdur adına gerçek API’ye karşı tekrar oynatıldı; hesap devralındı. Yazma işleminin onaylanması testlerin yaklaşık yarısında gerçekleşti. Yazma başarılı olduğunda sonraki oturumda kod çalıştırma garantiliydi, aynı oturum içinde bu oran yaklaşık beşte birde kaldı.
Araştırma bir yama talebi içermiyor. Şirkete göre burada OpenAI ya da Anthropic’in yamalayacağı bir şey yok: ajan kendi klasöründeki AGENTS.md dosyasını izlemek üzere tasarlandığı için davranışı doğru, vektör açık. Forever, bir web sayfasının kullanıcı tıklamadan indirilenler klasörüne istediği ad ve içerikle dosya bırakabildiğini de gösterdi; BleepingComputer bu sayfayı doğruladı. Dosyanın müşterinin makinesine nasıl geldiği bilinmiyor, araştırma bir aktör adlandırmıyor.
Telemetri tabloyu genişletiyor: Forever’ın müşterilerinin yaklaşık yarısı bir kodlama ajanını indirilenler klasöründe çalıştırıyor ve ajan oturumlarının yaklaşık dörtte biri gerçek bir tarayıcı açıyor. Araştırmacı Gal Weizman, yalnızca Claude Code’un bu klasörden yüzlerce müşteride oturum başlattığını söyledi; iç istatistikler Codex ve Cursor CLI için de aynı tabloyu gösteriyor. function-color paketi npm’den kaldırıldı, kayıt defteri artık yalnızca 0.0.1-security yer tutucu sürümünü döndürüyor. İki üreticiden bulguya özel bir açıklama ya da yama notu yok; genel öneri ajanı proje dizininde başlatmak.
