Codex et Claude Code peuvent être piégés par un fichier dans vos téléchargements

Résumé :
Un simple fichier texte placé dans le répertoire Téléchargements d’un utilisateur a suffi à inciter un agent de génération de code à télécharger et installer un paquet npm malveillant, une technique que les chercheurs de Forever Security ont pu reproduire sur les assistants de codage Codex et Claude Code, sans identifier de faille exploitable à corriger.

• Le fichier texte agit comme déclencheur : l’agent de codage l’interprète comme une instruction d’installation.
• Le paquet npm installé est malveillant, permettant potentiellement l’exécution de code non autorisé.
• L’attaque a été reproduite avec succès sur les plateformes Codex et Claude Code, démontrant que le problème ne provient pas d’une vulnérabilité spécifique mais d’un comportement inattendu de l’agent.