Ein Ordner, in den jede Webseite schreiben darf — und ein Agent, der blind vertraut. BleepingComputer berichtet am 25. Oktober 2026 über Forschung der Firma Forever Security. Eine untergeschobene Anweisungsdatei kann KI-Coding-Agenten dazu bringen, Schadcode zu installieren.
SO LÄUFT DER ANGRIFF
KI-Coding-Agenten laden automatisch Anweisungsdateien aus ihrem Arbeitsverzeichnis, etwa AGENTS.md oder CLAUDE.md. Genau das nutzt der Angriff:
- Eine präparierte AGENTS.md landet im Ordner ~/Downloads. Bei einem Kunden fanden die Forscher so eine Datei, wie sie dort hinkam, blieb unklar.
- Nach Ansicht der Forscher könnte eine Webseite die Datei lautlos ablegen: „~/Downloads is special. It is the one folder the web can write to on its own.“
- Der Nutzer startet den Agenten in diesem Ordner. Der Agent liest die Datei, folgt den Anweisungen und will ein Schadpaket namens „function-color“ per npm installieren.
DIE TESTERGEBNISSE
Gegen OpenAI Codex reproduzierten die Forscher den Angriff mit einer harmlosen Nutzlast, die den Taschenrechner öffnete — in 90 Prozent der Versuche. Gegen Claude Code zeigten sie eine verwandte Technik: Eine präparierte CLAUDE.md leitete den API-Verkehr des Agenten auf einen Server der Forscher um. Das legte das OAuth-Token offen, der Server konnte das Modell nachahmen und lieferte Werkzeugaufrufe, die in etwa 50 Prozent der Tests Code ausführten.
Chrome, Edge und Firefox speichern Downloads standardmäßig ohne Rückfrage im Download-Ordner und zeigen nur eine Benachrichtigung. Brave fragt nach.
WIE VERBREITET DAS RISIKO IST
Aus internen Daten von Forever Security: Hunderte Kunden starten KI-Agenten aus dem Download-Ordner, allein Claude Code lief dort in über 1.300 Sitzungen; auch Cursor CLI wird so genutzt. Eine Reaktion von OpenAI oder Anthropic nennt der Bericht nicht. Die Forscher sagen: „There is nothing here for OpenAI or Anthropic to patch“ — der Agent tue, was er soll. Beide Hersteller empfehlen, Agenten im konkreten Projektordner zu starten.
SO SCHÜTZT DU DICH
- Nie aus Downloads starten: Auch nicht aus dem Home-Verzeichnis oder anderen breiten Ordnern.
- Im Projektwurzelordner arbeiten und den Zugriffsbereich so klein wie möglich halten.
- Fremde Anweisungsdateien lesen: AGENTS.md, CLAUDE.md und ähnliche Dateien prüfen, bevor der Agent ihnen folgt.
- Freigabeabfragen und Sandbox anlassen.
- Unbekannten Code isoliert testen, nicht auf dem Hauptrechner.