Auf dem Rechner eines Kunden von Forever Security lag eine schädliche AGENTS.md im Download-Ordner, und ein Programmier-Agent wollte mitten in der Sitzung ein bekanntes Schadpaket installieren.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Der Fund auf dem Kundenrechner

Forever Security ist laut BleepingComputer eine Firma, die Risiken durch KI-Agenten überwacht. Den Bericht vom 22. Oktober 2026 haben Gal Weizman und Omer Samet verfasst, BleepingComputer griff ihn am 25. Oktober 2026 in einem Beitrag von Bill Toulas auf.

Forever fand die Datei nach eigenen Angaben auf dem Rechner eines echten Kunden. Das Paket hieß function-color und ist als Schadpaket bekannt. Der Agent wurde nach Darstellung des Berichts am Installieren gehindert, bevor Code lief.

Wie die Datei in den Ordner kam, wusste laut Forever niemand. BleepingComputer schreibt, die Forscher hätten das nicht klären können.

Ob es außerhalb dieses einen Fundes weitere Fälle gibt, sagen beide Quellen nicht.

Warum ausgerechnet der Download-Ordner

Eine AGENTS.md ist eine Datei, die ein Coding-Agent im Arbeitsordner liest und befolgt. Der Ordner ~/Downloads wiederum ist laut Forever der Ort, in den eine Webseite von sich aus eine Datei schreiben kann. Beides zusammen gebe einer Webseite die Möglichkeit, Anweisungen für einen Agenten abzulegen. Nach Angaben der Forscher, so BleepingComputer, genüge dafür schon der Besuch einer Seite.

Ob das ohne Rückfrage klappt, hängt laut BleepingComputer vom Browser ab. BleepingComputer hat die Ablage mit einer harmlosen Datei selbst nachgestellt: Brave fragt vor dem Speichern nach, Chrome, Edge und Firefox zeigen standardmäßig eine Download-Benachrichtigung. Die Erfolgsquoten der Agenten hat BleepingComputer dagegen nicht selbst gemessen.

Die Zahlen, und wem sie gehören

Für Codex nennt Forever mehr als 90 Prozent der Versuche, in denen die Schadsoftware lief. Codex habe dabei in die rechnerweite Konfigurationsdatei ~/.codex/config.toml geschrieben. BleepingComputer nennt 90 Prozent Erfolg, allerdings bei einer harmlosen Nutzlast, die nur den Taschenrechner öffnet. Beide Angaben meinen also nicht zwingend dasselbe, und die Bezugsgröße der Codex-Zahl bleibt unklar.

Bei Claude Code sieht das Bild anders aus. Mit einer präparierten CLAUDE.md habe Claude Code in etwa 50 Prozent der Versuche mitgemacht. Laut Forever führte das zur Umleitung der Schnittstelle und zum Abfluss des OAuth-Anmeldetokens. Für das Schreiben der Einstellung braucht Claude Code laut Forever aber die Freigabe eines Menschen und lehnt Auffälliges oft ab. Codeausführung in derselben Sitzung gelang in etwa einem Fünftel der Versuche.

Forever betont außerdem, dass hier kein Fehler in den Produkten vorliege. OpenAI und Anthropic hätten nichts zu beheben, die Agenten täten, wofür sie gebaut seien. Das ist Forevers Aussage.

Hinzu kommen Telemetriewerte, die Forever aus den Daten der eigenen Kunden zieht. Danach führt etwa die Hälfte der Forever-Kunden einen Coding-Agenten im Downloads-Ordner aus, und rund ein Viertel der Agenten-Sitzungen dieser Kunden öffnet einen echten Browser. BleepingComputer nennt zusätzlich mehr als 1.300 Sitzungen allein von Claude Code aus diesem Ordner, eine Angabe des Forschers ohne Bezugszeitraum. Für andere Betriebe sagen diese Werte nichts.

Was der Bericht empfiehlt

Als Gegenmaßnahmen nennt der Bericht:

BleepingComputer ergänzt, dass OpenAI und Anthropic ohnehin empfehlen, Agenten im Projektordner zu starten.

Unsere Einschätzung

Die Prozentzahlen stammen aus Tests eines Anbieters und lassen sich von außen nicht prüfen. Aus unserer Sicht lohnt sich der Blick auf eine andere Frage: aus welchem Ordner ein Agent gestartet wird. Laut Bericht bestimmt der Arbeitsordner, welche Anweisungsdateien der Agent liest. Ein Ordner, in den eine Webseite schreiben kann, taugt dafür schlecht, und die Empfehlung von OpenAI und Anthropic, im Projektordner zu starten, deckt sich damit.

Wo im Betrieb ein Coding-Agent läuft, sei es Codex oder Claude Code, würden wir deshalb zuerst den Arbeitsordner festlegen und schriftlich festhalten, wer Freigaben erteilt. Zum Einsatz solcher Agenten im Betrieb gibt es bei uns den Artikel Claude Code im Unternehmen einführen.

Ebenso würden wir Freigabeabfragen und Sandbox eingeschaltet lassen, auch wenn das Arbeitstempo etwas kostet. Bei Claude Code verlangt laut Forever schon das Schreiben der Einstellung eine Freigabe durch einen Menschen, und Claude lehnt Auffälliges oft ab. Eine Anweisungsdatei, die niemand gelesen hat, ist ein Text von unbekannter Herkunft, und genau darauf setzt der beschriebene Angriff.

Bewerten lässt sich die Lage nur mit Vorbehalt: Es gibt einen belegten Fund bei einem Kunden von Forever und Labortests des Anbieters. Schäden in anderen Betrieben beschreibt weder der Bericht noch BleepingComputer.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 26. Oktober 2026):

Häufige Fragen

Was beschreibt Forever Security in seinem Bericht?

Die Sicherheitsfirma Forever Security beschreibt in einem Bericht vom 22. Oktober 2026, wie sich Coding-Agenten wie Codex und Claude Code über eine AGENTS.md im Ordner ~/Downloads lenken lassen. Anlass war ein Fund auf dem Rechner eines Kunden, wo ein Agent am Installieren eines bekannten Schadpakets gehindert wurde. Wie die Datei dorthin kam, ist ungeklärt.

Wie hoch sind die genannten Erfolgsquoten?

Laut Forever lief die Schadsoftware bei Codex in mehr als 90 Prozent der Versuche, bei Claude Code machte der Agent mit einer präparierten CLAUDE.md in etwa 50 Prozent der Versuche mit. BleepingComputer nennt für Codex 90 Prozent bei einer harmlosen Nutzlast. Alle Quoten sind Angaben des Anbieters und keine unabhängige Messung.

Haben OpenAI und Anthropic das Problem behoben?

Forever schreibt, OpenAI und Anthropic hätten hier nichts zu beheben, weil die Agenten täten, wofür sie gebaut seien. Das ist die Aussage von Forever. Eine Stellungnahme der Hersteller zu dem Bericht ist in den Quellen nicht enthalten.

Was sollte ein Betrieb mit Coding-Agenten jetzt regeln?

Der Bericht empfiehlt, ~/Downloads nicht als Arbeitsordner eines Agenten zu nutzen, unbekannte AGENTS.md und CLAUDE.md vor dem Start zu lesen und die Konfiguration auf unerwartete Einträge zu prüfen. Freigabeabfragen und Sandbox bleiben eingeschaltet, bei einem Fund werden Zugangstoken erneuert. OpenAI und Anthropic empfehlen laut BleepingComputer, Agenten im Projektordner zu starten.

Wer im Betrieb legt fest, aus welchem Ordner ein KI-Agent starten darf?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 26. Oktober 2026. Stand der Recherche: 26. Oktober 2026.