Un archivo AGENTS.md malicioso en su carpeta de Descargas puede secuestrar un agente de codificación de IA

Investigadores de seguridad de Forever Security han demostrado que agentes de codificación de IA populares, incluidos OpenAI Codex y Claude Code de Anthropic, pueden ser secuestrados con nada más que un archivo de texto ubicado en la carpeta de Descargas de un usuario, según informó BleepingComputer. El ataque no requiere ninguna vulnerabilidad de software y no existe un parche para solucionarlo, porque el comportamiento explotado —que los agentes carguen automáticamente archivos de instrucciones desde su directorio de trabajo— funciona exactamente como fue diseñado.

El investigador Gal Weizman dijo a BleepingComputer que la técnica se detectó por primera vez en la máquina de un cliente, donde un agente de IA, lanzado desde la carpeta de Descargas, intentó silenciosamente instalar un paquete npm malicioso llamado "function-color" después de leer instrucciones de un archivo plantado.

Cómo funciona el ataque

Los agentes de codificación de IA como Codex y Claude Code leen un archivo de instrucciones estándar —AGENTS.md para Codex, CLAUDE.md para Claude Code— desde el directorio en el que se lanzan, tratando su contenido como contexto confiable para la sesión. Ese comportamiento es una característica deliberada y documentada, pensada para que los desarrolladores den al agente orientación específica del proyecto. El problema es que el agente no distingue entre un archivo que el desarrollador escribió y uno que llegó silenciosamente a la carpeta desde otro lugar.

Navegadores como Chrome, Edge y Firefox guardan los archivos descargados en ~/Downloads por defecto, y una página web maliciosa puede colocar un archivo allí con poca interacción del usuario. Si un usuario lanza más tarde un agente de IA desde esa misma carpeta —algo que, según Forever Security, los clientes suelen hacer para organizar descargas nuevas o actuar sobre archivos que acaban de recibir—, el agente cargará y seguirá cualquier instrucción que contenga el archivo plantado, sin ninguna advertencia de que el archivo no provino del desarrollador.

En las pruebas, los investigadores reprodujeron el ataque contra múltiples agentes. Una carga de prueba de concepto inofensiva que simplemente abría la aplicación de calculadora tuvo éxito en el 90% de los intentos contra OpenAI Codex. Contra Claude Code, un archivo CLAUDE.md malicioso redirigió el tráfico de API del agente a un servidor controlado por el investigador, exponiendo el token de autenticación OAuth del usuario; las llamadas a herramientas ejecutaron código elegido por el atacante en aproximadamente la mitad de las ejecuciones de prueba. Cursor CLI también fue mencionado entre los agentes que los clientes suelen lanzar desde la carpeta de Descargas, aunque no figuró entre los objetivos probados directamente.

Por qué esto no es un error que ninguna de las dos empresas pueda parchear

Forever Security fue directa sobre la naturaleza del problema: "Aquí no hay nada que OpenAI o Anthropic puedan parchear". Cargar un archivo de instrucciones desde el directorio de trabajo es el diseño intencional de estas herramientas, no un fallo en su código; la vulnerabilidad está en la suposición de que cualquier carpeta desde la que un usuario lance un agente es un espacio de trabajo seguro y confiable. La telemetría interna de Forever Security muestra la escala de esta exposición: cientos de sus clientes ejecutan rutinariamente agentes de IA desde la carpeta de Descargas, y solo Claude Code se ha lanzado desde esa ubicación en más de 1.300 sesiones registradas.

Qué hacer al respecto

El consejo de mitigación de los investigadores es acotado pero concreto: nunca configure ~/Downloads, ni ninguna carpeta amplia como un directorio de inicio, como directorio de trabajo de un agente de IA; inicie los agentes solo dentro de la raíz de un proyecto específico y conocido. Revise manualmente cualquier archivo AGENTS.md, CLAUDE.md o de instrucciones similar que no le resulte familiar antes de permitir que un agente actúe sobre él, mantenga activados los mensajes de aprobación integrados de las herramientas y las protecciones de sandboxing en lugar de desactivarlos por comodidad, y trate cualquier código que un agente proponga ejecutar sobre entradas no confiables como algo que primero debe probarse en un entorno aislado.

La divulgación llega mientras los agentes de codificación de IA se adoptan ampliamente dentro de los equipos de ingeniería precisamente porque pueden actuar de forma autónoma en la máquina de un desarrollador, que es exactamente la propiedad que explota este ataque. A medida que crece la adopción de agentes, el envenenamiento de archivos de instrucciones se suma a la inyección de prompts como una clase de ataque que no requiere romper el software en absoluto, solo explotar cuánto está diseñado el software para confiar en su entorno.