✨︎ Resumen (TL;DR):
- Forever Security detectó un AGENTS.md con instrucciones maliciosas en la carpeta Descargas de un cliente y bloqueó el intento antes de que se ejecutara código.
- La firma reportó una tasa superior a 90 % con Codex; en Claude Code, el cambio de configuración ocurrió en cerca de 50 % de los intentos y la ejecución de código en alrededor de 20 %.
- El ataque podía instalar
function-color, exponer un token o cargar un servidor en sesiones posteriores si el agente modificaba su configuración global.
Forever Security detectó un archivo AGENTS.md en la carpeta Descargas de un cliente con instrucciones para que un agente de programación instalara function-color, un paquete malicioso del registro npm. La firma bloqueó ese intento antes de que se ejecutara código y después reprodujo ataques contra OpenAI Codex y Claude Code en entornos de prueba. El riesgo aparece cuando el agente lee un documento colocado en una carpeta que considera confiable.
El problema empieza con un archivo de instrucciones
AGENTS.md es un archivo de texto que Codex lee antes de empezar a trabajar. Normalmente contiene reglas legítimas del proyecto, como las pruebas que el agente debe ejecutar.
Según la documentación de OpenAI, si Codex no encuentra una raíz de proyecto, busca instrucciones locales en el directorio actual. Ahí surge el riesgo de usar Descargas como carpeta de trabajo: los archivos recibidos de la web pueden quedar junto a las instrucciones que el agente incorpora a su tarea.
Forever Security señala que la variante probada en Codex requería que la carpeta se considerara de confianza. El agente también tenía que leer el documento colocado para que el ataque avanzara; la simple presencia del archivo no completaba la cadena.
El informe, publicado el 22 de octubre por Gal Weizman y Omer Samet, describe cómo un documento de texto puede dar instrucciones peligrosas a herramientas que escriben código y ejecutan comandos.
Cómo puede llegar el archivo a Descargas
BleepingComputer comprobó una demostración que descargaba un AGENTS.md de contenido inocuo. Chrome, Edge y Firefox pueden guardar archivos en Descargas sin pedir que se elija una ubicación, aunque muestran avisos de descarga. En esa prueba, Brave sí pidió autorización.
El experimento acredita una vía posible de entrada, pero no establece de dónde salió el archivo encontrado en el equipo del cliente. Su procedencia sigue sin determinarse. Para completar el ataque, el agente debe leer el documento.
Las cifras miden etapas distintas
Forever Security comunicó una tasa de éxito superior al 90 % en sus pruebas con Codex. La nota metodológica aclara que la mayoría de los ensayos usó una carga inocua que abría la calculadora. El paquete malicioso real se ejecutó una vez dentro de una máquina virtual aislada.
Con Claude Code, los investigadores crearon un CLAUDE.md que intentaba redirigir las solicitudes del agente hacia un servidor bajo su control. Reportaron un cambio de configuración en aproximadamente el 50 % de los intentos. Esa ruta exponía el token de inicio de sesión, una credencial que permite actuar con una sesión autenticada.
En alrededor del 20 % de los intentos consiguieron ejecutar código dentro de la misma sesión. Las cifras corresponden a ataques y resultados distintos: el robo del token podía ocurrir antes de ejecutar código adicional.
La configuración puede afectar sesiones posteriores
En la prueba con Codex, las instrucciones modificaban la configuración global del agente. Forever Security explica que el cambio podía cargar el servidor añadido en sesiones posteriores, incluso cuando el trabajo continuara en otro proyecto.
Así que cambiar de carpeta después del ataque no resuelve por sí solo el problema. Hay que revisar los ajustes alterados y los servidores o destinos de conexión que aparezcan en la configuración.
Los permisos cumplen funciones diferentes. La documentación actual de Anthropic distingue la aprobación de acciones de las restricciones del sandbox. Sandbox es un entorno que limita el acceso a archivos y a la red.
En modo manual, Claude Code pide autorización para operaciones sensibles. Sin embargo, un comando aprobado puede alcanzar los archivos que los permisos del usuario permitan modificar.
Las medidas para reducir la exposición
Forever Security recomienda:
- Trabajar desde la carpeta concreta del proyecto.
- Revisar los archivos
AGENTS.mdyCLAUDE.mdcuya procedencia sea desconocida. - Mantener activadas las aprobaciones y el aislamiento.
- Buscar servidores o destinos de conexión inesperados en la configuración.
Para equipos, Anthropic añade usar configuración administrada y auditar o bloquear cambios de ajustes durante las sesiones. Esos controles permiten vigilar la modificación que, en estas pruebas, convirtió instrucciones de texto en acceso persistente o exposición de credenciales.
La descarga por sí sola no completa el ataque: el agente tiene que leer el archivo y seguir sus instrucciones. Pero si la carpeta es confiable y el documento altera la configuración global, mover el trabajo a otro proyecto no basta. Revisar los archivos de instrucciones y los ajustes del agente es el control concreto antes de la siguiente sesión.
