2026-10-26 · agenter · säkerhet · tips

Starta inte din AI-agent i mappen Hämtade filer: en nedladdad textfil kan ta över den

Säkerhetsforskare har hittat en ny attack mot AI-agenter som Codex och Claude Code. En webbsida kan lägga en fil med instruktioner i mappen Hämtade filer, och om du startar agenten där kan den luras att installera skadlig kod eller lämna ut din inloggning. Så skyddar du dig, och det kostar ingenting.

Den 22 oktober 2026 publicerade säkerhetsföretaget Forever Security en rapport om en ny sorts attack, och den 25 oktober skrev BleepingComputer om den. Hos en av företagets kunder hade en AI-kodagent försökt installera ett känt skadligt programpaket, function-color från npm. Ordern kom inte från någon kod, utan från en vanlig textfil som hette AGENTS.md. Den låg i kundens mapp för hämtade filer, och agenten hade startats i just den mappen.

Varför fungerar det? Filer som AGENTS.md och CLAUDE.md är instruktionsfiler. Agenter som OpenAI Codex och Claude Code läser dem automatiskt när de startar i en mapp och följer det som står där, till exempel vilka verktyg som ska användas. Det är så de är byggda. Mappen Hämtade filer är speciell, skriver forskarna: det är den mapp som en webbsida kan spara en fil i utan att du klickar på något. Chrome, Edge och Firefox sparar som standard nedladdningar där utan att fråga, men visar en nedladdningsnotis. I BleepingComputers test frågade Brave först.

Forever testade attacken på riktigt. Mot Codex körde de den äkta skadliga filen i en isolerad virtuell dator, och Codex körde skadlig kod i mer än 90 procent av försöken. Ändringen skrevs dessutom in i Codex gemensamma inställningsfil, så den följde med till alla projekt på datorn. Mot Claude Code skrev de en egen fil som fick agenten att skicka sin trafik via en server de kontrollerade. Då läckte agentens inloggningsnyckel, och det lyckades ungefär hälften av gångerna.

Det finns inget för OpenAI eller Anthropic att laga, skriver forskarna. Agenten gör det den är byggd för, på samma sätt som en webbläsare visar en falsk inloggningssida. Ansvaret hamnar hos användaren. Enligt Forevers egen statistik kör ungefär hälften av deras kunder en kodagent i mappen Hämtade filer, ofta för att städa mappen eller jobba med en fil som de nyss har laddat ner. OpenAI och Anthropic rekommenderar att agenten startas i mappen för det projekt den ska jobba med.

Vem berörs? Den som använder AI-agenter som körs på den egna datorn och läser filer där, som Codex, Claude Code eller Cursor. Allt fler småföretagare använder sådana agenter för att sortera filer eller bygga små verktyg, även utan att vara utvecklare. Attacken kräver att agenten startas i samma mapp som den planterade filen. Därför räcker det långt att ändra en enda vana.

Så kommer du igång

  1. Starta aldrig en AI-agent i mappen Hämtade filer (Downloads). Flytta först filen du vill jobba med till en egen projektmapp.
  2. Starta agenten i den mapp den ska jobba i, inte i hemmappen eller en stor mapp ovanför.
  3. Hittar du en AGENTS.md eller CLAUDE.md som du inte själv har skrivit, till exempel i ett projekt du just har laddat ner: läs den innan agenten får jobba där. Vår prompt hjälper dig att granska den.
  4. Låt godkännanden och sandlåda vara påslagna, och var misstänksam mot allt som ber agenten stänga av dem.
  5. Är du tekniskt van: titta i ~/.codex/config.toml och i projektets .claude/settings.json efter servrar eller adresser som du inte själv har lagt in. Hittar du något, logga ut och in igen och byt nycklar, och utgå från att inloggningen har läckt.

Mer på TipAI

Källor

Gratis fusklapp: Kom igång med AI

En utskrivbar sida med grundformeln, fem saker att testa och hur du använder AI säkert. Skriv din e-post så mejlar vi den direkt – gratis, avsluta när du vill.

Få fusklappen gratis →

TipAI förklarar AI på ren svenska för nybörjare, familjer och småföretag. Varje artikel har källor och "Så kommer du igång".

← Alla nyheter · Testa TipAI