Investigadores de Forever Security encontraron un archivo malicioso AGENTS.md en la carpeta ~/Downloads de un cliente, después de que un agente de programación con IA intentara instalar el paquete npm malicioso function-color. Así lo indica un informe de BleepingComputer publicado el 25 de octubre.
La carpeta Downloads era también el directorio de trabajo del agente, lo que le permitió cargar las instrucciones del atacante como parte de su contexto operativo. Los investigadores no pudieron establecer cómo llegó el archivo al ordenador del cliente. El incidente registrado en el cliente implicó un intento de instalación de un paquete; las pruebas posteriores de los investigadores demostraron ejecución de código y robo de credenciales en condiciones distintas.
Las instrucciones se convierten en una vía de acceso a las herramientas
Archivos como AGENTS.md ofrecen orientación específica para cada proyecto a los agentes de programación con IA, incluidas convenciones de código, herramientas y procedimientos de prueba. Los agentes leen automáticamente los archivos de instrucciones aplicables y los usan para guiar su trabajo.
Los archivos son de texto plano, pero su contenido puede influir en un agente para ejecutar comandos, instalar software o cambiar ajustes mediante cualquier herramienta y permiso que tenga. En este caso, colocar instrucciones maliciosas en el directorio desde el que el agente se inició le dio a esa guía la oportunidad de moldear sus acciones.
Forever Security describió el riesgo como una consecuencia del comportamiento previsto y no como un fallo de software que requiera un parche del proveedor. Esa es la valoración de los investigadores: un agente que sigue un archivo de instrucciones local está cumpliendo una función para la que fue diseñado.
Las descargas del navegador ofrecen una posible vía de entrega
Aunque la llegada del archivo original sigue sin explicarse, los investigadores crearon una prueba de concepto que muestra cómo una página web podría descargar un archivo AGENTS.md en la carpeta Downloads sin mostrar un aviso para elegir la ubicación de guardado.
BleepingComputer verificó que la página de demostración descargó un archivo inofensivo que contenía las cadenas «sensitive data here» y «line 2.». Esto demostró un posible mecanismo de entrega, pero no cómo llegó realmente el archivo malicioso del cliente.
Chrome, Edge y Firefox suelen guardar las descargas en ~/Downloads sin pedir al usuario que elija una ubicación para cada archivo. Además, muestran de forma predeterminada notificaciones de descarga. BleepingComputer indicó que, en sus pruebas, navegadores como Brave solicitaban aprobación, lo que supone una advertencia visible adicional.
Para que esta vía de ataque funcione, el objetivo tendría que lanzar después un agente de IA en esa misma carpeta para que pudiera leer las instrucciones plantadas. El investigador de Forever Security Gal Weizman afirmó que las estadísticas internas mostraban cientos de clientes ejecutando agentes desde Downloads, y que solo Claude Code acumulaba más de 1300 sesiones allí. El informe no especificaba el periodo de medición.
Las pruebas demostraron la ejecución y la exposición de tokens
Forever Security reconstruyó el ataque contra OpenAI Codex con una carga útil inofensiva que abría la aplicación de calculadora. Los investigadores informaron de una tasa de éxito del 90 %.
En un experimento independiente con Claude Code, un archivo malicioso CLAUDE.md redirigió el tráfico de la API a un servidor controlado por los investigadores. Según afirmaron, esto expuso el token OAuth del agente y permitió que su servidor suplantara al modelo, devolviendo llamadas a herramientas que ejecutaron código en alrededor del 50 % de las pruebas. Esos porcentajes corresponden a experimentos distintos, no a una comparación directa entre los productos.
La precaución práctica consiste en mantener las descargas no confiables fuera del contexto de trabajo del agente. El informe indica que OpenAI y Anthropic recomiendan iniciar los agentes de programación en la raíz del proyecto específico en el que deben trabajar y mantener acotado su alcance de trabajo.
Los usuarios también deberían revisar los archivos desconocidos AGENTS.md, CLAUDE.md y otros similares, mantener activadas las solicitudes de aprobación y las protecciones de sandbox, y usar un entorno aislado al ejecutar código potencialmente no confiable.
