# İndirilenler klasörüne bırakılan bir AGENTS.md dosyası, Codex’e zararlı bir npm paketi kurdurmaya çalıştı

> Forever Security’ye göre gerçek bir müşteride bulunan dosya, testlerde Codex’i yüzde 90’dan fazla kandırdı; Claude Code’a yönelik benzer saldırı yarı oranda tuttu.

- Yayın: JARRUS (@jarrus.ai), thejarrus.com
- Haber tarihi: 22 Ekim 2026 (2026-10-22)
- Sitede: 2026-10-27
- Etiketler: OpenAI, Anthropic, Güvenlik, Ajanlar
- Adres: https://thejarrus.com/tr/haber/agents-md-tuzagi/

Güvenlik şirketi Forever Security, 22 Ekim'de yayımladığı raporda bir müşterisinin bilgisayarında yakaladığı saldırıyı anlattı. Kullanıcının İndirilenler (Downloads) klasöründe sıradan mühendislik notu gibi görünen 13 KB'lık bir AGENTS.md dosyası vardı. Codex gibi kodlama ajanları açıldıkları klasördeki bu dosyayı talimat olarak izliyor. Dosyanın bir bölümü, ajandan ~/.codex/config.toml dosyasına bir MCP sunucusu eklemesini ve npm'den function-color paketini kurmasını istiyordu. Paket, CloudSEK ve Checkmarx'ın MALFEX adını verdiği zararlı yazılım kampanyasına ait. Forever ajanı kod çalışmadan durdurdu. Dosyanın klasöre nasıl geldiği belirlenemedi.

Şirkete göre saldırı iki zararsız özelliğin birleşiminden doğuyor. Ajanlar klasördeki talimat dosyasına güveniyor, web sayfaları ise tıklama ya da izin olmadan İndirilenler'e dosya kaydedebiliyor. Forever, ziyaret edilince fark ettirmeden AGENTS.md indiren bir kavram kanıtı sayfası hazırladı. Gerçek dosyayla yalıtılmış sanal makinede yapılan testlerde **Codex zararlı yazılımı denemelerin yüzde 90'ından fazlasında çalıştırdı**. Değişiklik makine genelindeki ayara yazıldığı için sonraki tüm Codex oturumlarını etkiliyor. Claude Code'da Forever'ın hazırladığı bir CLAUDE.md, ANTHROPIC_BASE_URL ayarını şirketin sunucusuna yönlendirmeye çalıştı. İnsan onayı gerektiren bu yazma yaklaşık yarı oranda onaylandı ve oturum jetonu sızdı.

Forever'a göre OpenAI ya da Anthropic'in yamalayacağı bir hata yok, çünkü ajanlar tasarlandığı gibi davranıyor. Şirketin verilerine göre müşterilerin yaklaşık yarısı kodlama ajanını İndirilenler klasöründe çalıştırıyor. Öneriler arasında ajanları bu klasörde başlatmamak, yabancı talimat dosyalarını okumak, ajan ayarlarını kontrol etmek ve jetonları yenilemek var. Test sonuçları şirketin kendi ölçümleri. OpenAI ve Anthropic'in konuya ilişkin bir açıklaması bulunamadı.

## Kaynaklar

1. [Forever Security (Gal Weizman, Omer Samet): Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web, 22 Ekim 2026](https://forever.security/blog/hijacking-ai-agents-via-downloads-folder)
2. [The Hacker News: Malicious File in Downloads Folder Tries to Trick AI Coding Agent Into Installing Malware, 26 Ekim 2026](https://thehackernews.com/2026/10/malicious-file-in-downloads-folder.html)
3. [Checkmarx: MALFEX npm kampanyasının analizi](https://checkmarx.com/zero-post/malfex-npm-malware-campaign-three-payloads-and-an-adversary-that-signs-their-work/)

Hata bildirimi: hata@thejarrus.com