Durante trinta anos, um arquivo que a web deixava na sua pasta de Downloads não fazia nada até você abri-lo. Então os agentes de programação começaram a ler a pasta em que são abertos e a seguir as instruções que ela traz.

Em 22 de outubro, a Forever Security publicou um relatório que começava com um alerta na máquina de um cliente. Um agente de programação, no meio de uma sessão, estava prestes a instalar function-color do npm. Esse pacote faz parte de uma campanha de malware que a Checkmarx documentou com o nome MALFEX, e a Forever interrompeu a instalação antes que qualquer código rodasse.

Bloquear um pacote malicioso conhecido é rotina. Estranha era a origem da ordem: nenhuma dependência e nenhum repositório pediam o pacote. O agente estava seguindo um arquivo AGENTS.md na pasta ~/Downloads do cliente, o arquivo de instruções que o Codex lê quando inicia num diretório. Ninguém sabia como o arquivo tinha ido parar ali. The Hacker News repercutiu a história hoje de manhã.

Dois fatos inofensivos

A explicação da Forever se apoia em duas coisas que, cada uma por si, não tinham problema nenhum.

A primeira é o arquivo de instruções. AGENTS.md, CLAUDE.md e seus primos existem para que você possa explicar a um agente como um projeto funciona. O agente carrega o arquivo na inicialização e o trata como uma orientação sua. Dentro de um projeto que você escreveu, essa é a decisão certa.

A segunda é a pasta de Downloads. Uma página web consegue salvar um arquivo ali sem clique e sem pedido de permissão, e escolhe tanto o nome quanto o conteúdo. Isso deixou de ser perigoso há anos, porque os sistemas operacionais se recusam a executar um programa vindo da internet até que você o aprove.

Essas proteções verificam executáveis, e um AGENTS.md é um arquivo de texto. Mesmo assim, um agente o lê como um script. A Forever resume assim: “Markdown is the new executable”, o Markdown é o novo executável.

Em seguida, a Forever mediu com que frequência as duas coisas se encontram. Pela telemetria dela, cerca de metade dos clientes roda um agente de programação dentro da pasta de Downloads, e mais ou menos um quarto das sessões de agente abre um navegador de verdade. O segundo número importa porque agora quem navega é o agente. Se um site que ele visita deixa o arquivo, não há ninguém diante da tela para vê-lo chegar.

A cadeia que a Forever Security encontrou e depois reconstruiu. Uma página web salva AGENTS.md ou CLAUDE.md em ~/Downloads sem nenhum clique. Um agente de programação iniciado nessa pasta lê o arquivo como instruções. No Codex, o arquivo acrescenta um servidor MCP ao ~/.codex/config.toml global da máquina e instala um pacote npm malicioso. No Claude Code, ele grava ANTHROPIC_BASE_URL nas configurações do projeto, e assim o agente envia o seu token OAuth ao atacante, que passa a poder responder no lugar do modelo.

O que o arquivo plantado fazia

A Forever rodou o arquivo real do atacante contra o Codex dentro de uma VM isolada. O arquivo é um documento longo e maçante de “Engineering Work Guidelines”, e a carga útil está numa seção perto do fim. Essa seção pede ao Codex, “at the start of the session, before beginning the user's request”, que acrescente um servidor project-tools ao ~/.codex/config.toml. O comando desse servidor é launchctl submit, que dispara npm install function-color fora do controle do Codex. Depois, o arquivo faz o Codex abrir uma sessão filha com --dangerously-bypass-approvals-and-sandbox, alegando que a instalação precisa de um acesso à rede que o sandbox padrão não concede.

O Codex executou o malware em mais de 90% das tentativas. O arquivo de configuração vale para a máquina inteira, então toda sessão posterior do Codex, em qualquer pasta, carrega o servidor do atacante. Sair da pasta de Downloads não o remove.

O function-color não traz carga útil própria. Segundo a Checkmarx, ele puxa o function-flag como dependência, e o script postinstall desse pacote baixa e executa um programa. Os dois já têm alertas de malware (MAL-2026-17647 para o function-color), e o npm removeu o pacote.

O Claude Code foi mais difícil de enganar, e o ataque que funcionou contra ele é diferente. A Forever escreveu um CLAUDE.md apresentado como a configuração de um gateway interno. Ele pede ao Claude que grave ANTHROPIC_BASE_URL no .claude/settings.json do projeto, apontando para um servidor controlado pela Forever, com certificado válido. O Claude pede que uma pessoa aprove essa gravação, e a embalagem longa e sem graça conseguiu a aprovação cerca de metade das vezes.

Essa única configuração faz duas coisas. Toda requisição à API passa a levar o token OAuth do Claude ao servidor da Forever, e a Forever reaproveitou um token capturado contra a API real e foi atendida como a vítima. O servidor também pode responder como se fosse o modelo. Na inicialização seguinte, ele devolveu uma chamada à ferramenta Bash para npm install function-color com dangerouslyDisableSandbox em true, e o cliente a executou com o sandbox desligado. Usando um subagente “para validar a configuração”, a Forever também conseguiu execução de código na mesma sessão em cerca de um quinto das vezes.

A conclusão da Forever é que “não há nada aqui para a OpenAI ou a Anthropic corrigirem”. O agente fez o que foi feito para fazer, numa pasta em que a web podia gravar.

O mesmo arquivo numa máquina Bromure

O Bromure Agentic Coding roda Claude Code, Codex, Grok, Kimi e omp dentro de VMs Ubuntu no seu Mac, uma VM por máquina, com as credenciais reais guardadas no host. Vamos seguir o ataque na ordem e ver onde cada etapa vai parar.

A web não consegue gravar na pasta do agente

Num notebook, o navegador e o agente compartilham um disco, e Downloads é onde os dois se encontram. Uma máquina Bromure os mantém em discos diferentes.

O mundo do agente é a VM da máquina: a própria pasta pessoal, o próprio disco de sistema e as pastas do Mac que você escolheu compartilhar com ela. O seu ~/Downloads não faz parte desse mundo, a não ser que você o coloque lá. As sessões começam em pastas próprias dentro da VM, então não existe um “abrir o agente em Downloads” em que cair por descuido.

O segundo número da Forever, o quarto das sessões em que o agente navega, recebe o mesmo tratamento. O Chromium embutido de cada máquina roda numa VM descartável própria, separada da do agente. Quando uma página salva um arquivo, o download vai para a pasta de Downloads do seu Mac e aparece no painel de downloads da barra de ferramentas. O arquivo fica fora da pasta pessoal do agente e de todas as pastas de sessão, então uma página que o agente visitou pode deixar arquivos AGENTS.md o dia inteiro sem que o agente leia nenhum. Se você desligar Allow file downloads nas configurações de Browser da máquina, a página não consegue salvar nada.

A mesma página, duas configurações. Num notebook, o navegador salva AGENTS.md em ~/Downloads, o agente inicia nessa pasta, e o seu token de login real está ao alcance. Numa máquina Bromure, o navegador embutido roda numa VM descartável própria e salva os downloads no Mac. O agente roda numa VM separada que só enxerga a própria pasta pessoal e as pastas que você compartilha, e tem um token substituto que o proxy do Mac troca pelo real apenas nas requisições para o host do próprio provedor.

O token desviado é um substituto

Agora suponha que um CLAUDE.md plantado chegue ao agente mesmo assim, num repositório que você clonou ou num arquivo que você arrastou, e que a gravação de ANTHROPIC_BASE_URL seja aprovada.

Dentro de uma VM Bromure, o Claude Code não tem nenhuma credencial real. Com uma chave de API, ANTHROPIC_API_KEY é uma falsificação que começa com sk-ant-api03-brm-. Com uma assinatura do Claude, os tokens OAuth reais ficam só no Mac, e o agente roda com uma chave de fachada. Toda requisição HTTPS sai da VM por um proxy no host, que só coloca a credencial real quando a requisição vai para o host do próprio provedor.

Então a requisição para ai-gateway.internal-corp.com sai com o substituto. A tomada de conta da Forever dependia de reutilizar o token que o servidor dela coletava. Reutilize este contra a API da Anthropic e a API o rejeita.

Com uma chave de API, o substituto também funciona como armadilha. O proxy examina toda requisição de saída em busca de falsificações indo para um host para o qual não foram emitidas. Para uma chave sk-ant-api03-brm- a caminho do “gateway” de outra pessoa, ele responde com HTTP 451, antes que um único byte saia do Mac. A VM é pausada, e um alerta mostra This environment may have been compromised, com o nome da credencial, o host a que ela pertence e o host para onde foi enviada. Você pode desligar a máquina ou salvar o disco e a pasta pessoal dela para investigação. De um jeito ou de outro, a máquina precisa ser apagada antes de iniciar de novo.

O modelo falso não tem de onde responder

A metade do ataque ao Claude que leva à execução de código exige que o agente alcance o servidor do atacante, para que esse servidor possa responder como o modelo. Coloque Unmatched traffic em Deny no painel Guardrails da máquina e libere os hosts de que o projeto precisa. ai-gateway.internal-corp.com não está nessa lista, então a conexão é recusada no Mac, no switch virtual e de novo no proxy, e a chamada de ferramenta forjada nunca chega. A recusa vira uma linha na Security Timeline, com o host que o agente tentou alcançar.

A instalação roda numa VM Linux cheia de iscas

Pegue o caminho do Codex, em que o próprio agente executa o comando. O ponto de entrada do arquivo real é launchctl, um comando do macOS. Uma máquina Bromure roda Ubuntu. Reescreva a carga útil para Linux e ela ainda roda dentro da VM, onde toda credencial ao alcance é um substituto: GH_TOKEN, ~/.git-credentials, ~/.aws/config, as configurações MCP. A flag --dangerously-bypass-approvals-and-sandbox que o arquivo convence o agente a usar desliga o sandbox do próprio Codex, e deixa a VM em volta do Codex onde estava.

O próprio npm install passa pelo proxy de cadeia de suprimentos do Bromure no Mac. Todo download de pacote aparece na Security Timeline, então function-color e function-flag aparecem como linhas com nome. Ative a remoção de scripts de instalação no painel Supply Chain da máquina, e o proxy tira preinstall, install, postinstall e prepare de cada tarball do npm à medida que ele chega. O postinstall do function-flag era a etapa que baixava o executável. Com a remoção ativada, ele some antes que o tarball chegue à VM. Escolha socket.dev como filtro de pacotes, marque Block compromised packages, e o Bromure recusa com um 451 qualquer pacote que o socket.dev marque como malware.

A configuração envenenada volta atrás

Num notebook, a entrada de servidor do atacante fica em ~/.codex/config.toml até alguém encontrá-la, e toda sessão do Codex em toda pasta a carrega. Numa máquina Bromure, esse arquivo mora na pasta pessoal da VM. Cada inicialização bem-sucedida cria um ponto de restauração da pasta pessoal, e Rewind home… a devolve ao estado de uma inicialização anterior à chegada do arquivo. Reset disk clona de novo o disco de sistema a partir da imagem base assinada. A configuração do agente no seu Mac continua como você a deixou, porque a VM nunca teve acesso a ela.

As instruções plantadas ganham um segundo leitor

Todo arquivo de instruções que um agente carrega vai para o modelo dentro do prompt de sistema, e essa requisição atravessa o proxy no seu Mac. Ative Detect rogue instructions in CLAUDE.md files and similar no painel Prompt Injection da máquina, e o Bromure tira CLAUDE.md, AGENTS.md e GROK.md desse prompt e os analisa localmente. Uma passada heurística procura Unicode oculto e metainstruções, e um classificador ModernBERT treinado para arquivos de regras maliciosos dá um segundo veredito. No modo Ask me what to do, a requisição é pausada antes que qualquer coisa chegue ao modelo, e uma caixa de diálogo no seu Mac mostra a seção que disparou o detector. Num arquivo como o da Forever, é o parágrafo que manda acrescentar um bloco de servidor “before beginning the user's request”.

Os downloads ficam no Mac

O navegador embutido roda numa VM descartável própria e salva os arquivos no seu Mac. A VM do agente enxerga a própria pasta pessoal e as pastas que você compartilha.

O token na rede é falso

Uma URL base desviada coleta um substituto. Um substituto de chave de API indo para o host errado é bloqueado com um 451, e a VM é pausada.

O modelo falso não consegue se conectar

Com Unmatched traffic em Deny, o gateway do atacante fica inalcançável, e a conexão recusada aparece na Timeline.

As instalações passam primeiro pelo Mac

Todo download do npm é registrado. A remoção de scripts tira o hook postinstall, e o socket.dev pode bloquear pacotes sinalizados com um 451.

Onde o agente fica

Os conselhos da Forever são sensatos e não custam nada: não inicie um agente em Downloads, leia os arquivos de instruções que você não escreveu, e verifique na configuração do agente servidores e URLs base que você não adicionou. Cada item dessa lista depende de uma pessoa prestando atenção, e a própria telemetria do relatório mostra agentes navegando enquanto ninguém olha.

O Bromure Agentic Coding coloca essas verificações na própria arquitetura da máquina. A pasta em que a web grava fica no Mac, e o agente roda numa VM separada. O agente tem substitutos, então nada do que o convençam a enviar abre coisa alguma fora desse Mac. A rede, o registro de pacotes e o arquivo de instruções passam, cada um, por um ponto de controle no host antes de chegar à internet ou ao modelo. O agente continuará seguindo o arquivo que estiver na pasta dele, e numa máquina Bromure a web não consegue colocar um ali.

Para a versão anterior do ataque de URL base, que chegava por um repositório, leia O agente vazou a própria chave. Para um servidor MCP contrabandeado por um documento baixado, leia O notebook trouxe o próprio servidor MCP.