Archivos AGENTS.md maliciosos explotan agentes de codificación de IA a través de la carpeta Descargas

Según un informe publicado la semana pasada por la firma de seguridad Forever Security, un archivo de instrucciones malicioso colocado en la carpeta Descargas de un desarrollador intentó obligar a un agente de codificación de IA a instalar malware. El incidente destaca una nueva vía de ataque donde se utilizan archivos locales confiables para inyectar comandos en agentes como Codex de OpenAI y Claude Code de Anthropic.

Qué ocurrió

Forever Security detectó el intento en la máquina de un cliente real e intervino antes de que se ejecutara cualquier código. El archivo malicioso se llamaba AGENTS.md, un documento de texto plano que los agentes de codificación leen para obtener contexto e instrucciones al inicializarse en un directorio. Disfrazado como notas rutinarias de ingeniería, el archivo contenía una directiva para que el agente modificara su configuración e instalara un paquete npm llamado function-color. Este paquete está vinculado a la campaña de malware MALFEX, analizada previamente por investigadores de CloudSEK y Checkmarx. El paquete function-color actúa como descargador de function-flag, que posteriormente obtiene y ejecuta una carga útil (payload) para Windows.

El ataque se basa en la combinación peligrosa de dos comportamientos benignos. Primero, los agentes de codificación están diseñados para confiar y seguir las instrucciones encontradas en archivos locales como AGENTS.md o CLAUDE.md. Segundo, los navegadores web pueden guardar archivos en la carpeta Descargas automáticamente sin interacción del usuario ni solicitudes de permiso. Aunque Forever Security no pudo confirmar exactamente cómo llegó el archivo a la máquina del cliente, demostraron que una página web podría depositar silenciosamente dicho archivo. En su prueba de concepto, visitar una página específica resultó en la aparición de un archivo AGENTS.md en la carpeta Descargas, listo para ser ejecutado por cualquier agente iniciado en ese directorio.

Para validar la amenaza, los investigadores reprodujeron el ataque en entornos aislados. Al dirigirse a Codex, el archivo malicioso instruía al agente para registrar un servidor en ~/.codex/config.toml y ejecutar un comando para instalar el paquete. Dado que este archivo de configuración se aplica globalmente, el cambio persistiría en todas las sesiones futuras. Codex ejecutó el malware en más del 90% de los intentos de prueba. Contra Claude Code, el ataque involucró un archivo CLAUDE.md que intentaba escribir una ANTHROPIC_BASE_URL en la configuración del proyecto, redirigiendo el tráfico de API a un servidor controlado por el atacante. Esto filtraría tokens de inicio de sesión y permitiría al atacante suplantar al modelo. Debido a los requisitos de aprobación de Claude, esta variante tuvo éxito solo aproximadamente la mitad de las veces.

Cómo funciona

Esta técnica es una forma de inyección de prompts mediante artefactos del sistema de archivos local. Los agentes de codificación operan escaneando su directorio de trabajo en busca de archivos de contexto, como AGENTS.md, que proporcionan pautas de comportamiento. Al colocar una versión maliciosa de este archivo en un directorio que el agente confía, los atacantes pueden anular comportamientos seguros con instrucciones dañinas. El agente interpreta estos comandos basados en texto como intención legítima del usuario.

La vulnerabilidad se ve exacerbada por el comportamiento predeterminado de los navegadores web y los sistemas operativos. La carpeta Descargas es una zona común de aterrizaje para archivos de internet, pero también es un punto de partida frecuente para desarrolladores que inicializan nuevos proyectos o prueban código. Dado que los navegadores pueden escribir en esta carpeta sin consentimiento explícito para cada archivo, un atacante puede plantar el mecanismo de disparo remotamente. Una vez que el agente se inicia en esa carpeta, lee las instrucciones maliciosas como si fueran parte de la documentación legítima del proyecto.

Detalles clave

• El archivo malicioso AGENTS.md instruyó a los agentes para instalar function-color, un paquete npm asociado con la campaña de malware MALFEX.
• Codex ejecutó la carga útil maliciosa en más del 90% de los intentos cuando se lanzó desde el directorio infectado.
• Los ataques contra Claude Code apuntaban a la configuración de ANTHROPIC_BASE_URL para robar tokens de sesión, teniendo éxito en aproximadamente el 50% de los casos debido a las solicitudes de aprobación.
• Los navegadores web pueden guardar archivos silenciosamente en la carpeta Descargas, permitiendo la plantación remota de archivos de instrucciones maliciosos.
• Forever Security afirma que no hay parche para OpenAI o Anthropic, ya que los agentes están funcionando según lo diseñado al seguir instrucciones locales.
• La telemetría indica que aproximadamente la mitad de los clientes de Forever Security ejecutan agentes de codificación en su carpeta Descargas.

Por qué importa

Para ingenieros de software y líderes técnicos, este incidente subraya el riesgo de tratar a los agentes de IA como entidades totalmente autónomas sin controles estrictos de límites. La suposición de que los archivos locales son seguros ya no es válida cuando dichos archivos pueden ser inyectados mediante actividades de navegación web. Los desarrolladores que habitualmente inician sesiones de codificación en su carpeta Descargas o clonan repositorios directamente en ella son particularmente vulnerables. El ataque no requiere exploits complejos; aprovecha la funcionalidad principal de las herramientas en las que los desarrolladores confían diariamente.

Además, el mecanismo de persistencia en Codex, que modifica archivos de configuración globales, significa que una sola infección exitosa puede comprometer todas las sesiones futuras del agente en una máquina. Para Claude Code, el riesgo implica el robo de credenciales, lo que puede llevar a la toma de control de cuentas y acceso no autorizado a bases de código propietarias. Dado que los proveedores ven esto como un problema de patrón de uso más que un error de software, la responsabilidad de la mitigación recae completamente en los usuarios finales y sus prácticas de seguridad operativa.

Qué puedes hacer

• Nunca inicialices agentes de codificación de IA como Codex o Claude Code en el directorio ~/Downloads.
• Inspecciona cualquier archivo AGENTS.md o CLAUDE.md en repositorios nuevos o descargados antes de permitir que un agente los lea.
• Audita periódicamente ~/.codex/config.toml en busca de entradas de servidor no autorizadas y .claude/settings.json para detectar endpoints de API modificados.
• Mantén habilitadas las solicitudes de aprobación y las funciones de sandboxing, y rechaza cualquier solicitud del agente para deshabilitarlas.
• Si se descubre un archivo de instrucciones malicioso, asume que los tokens de sesión han sido comprometidos y rótalos inmediatamente.
• Ten cuidado al usar agentes para navegar por la web, ya que pueden descargar inadvertidamente archivos maliciosos sin visibilidad del usuario.