Forever Security detectó en la carpeta Descargas de un cliente un archivo AGENTS.md con instrucciones para que un agente de programación instalara malware. La firma afirma que bloqueó el intento antes de que se ejecutara código y después reprodujo ataques contra OpenAI Codex y Claude Code en entornos de prueba.
El informe, publicado el 22 de octubre por Gal Weizman y Omer Samet, describe cómo un documento de texto puede dar instrucciones peligrosas a herramientas que escriben código y ejecutan comandos. En el caso detectado, la orden buscaba instalar function-color, un paquete malicioso del registro de software npm.
El riesgo aparece cuando el agente confía en Descargas
La documentación de OpenAI explica que Codex lee los archivos AGENTS.md antes de empezar a trabajar. Estos documentos suelen contener reglas legítimas del proyecto, como las pruebas que debe ejecutar. Si Codex no encuentra una raíz de proyecto, busca las instrucciones locales en el directorio actual.
Esa regla explica el riesgo de usar Descargas como carpeta de trabajo: allí pueden coincidir archivos recibidos de la web con instrucciones que el agente incorpora a su tarea. Según Forever, la variante probada en Codex requería que la carpeta se hubiera considerado de confianza.
BleepingComputer comprobó una demostración que descargaba un AGENTS.md de contenido inocuo. El medio señala que Chrome, Edge y Firefox pueden guardar archivos en Descargas sin pedir que se elija una ubicación, aunque muestran avisos de descarga; en su prueba, Brave pidió autorización.
Para completar esta cadena, el agente debe leer el documento plantado. La procedencia del archivo encontrado en el equipo del cliente sigue sin determinarse: la demostración del navegador acredita una vía posible de entrada.
Los porcentajes miden resultados diferentes
Forever comunicó una tasa de éxito superior al 90 % en sus pruebas con Codex. Su nota metodológica aclara que la mayoría de los ensayos utilizó una carga inocua que abría la calculadora y que el paquete malicioso real se ejecutó una vez dentro de una máquina virtual aislada.
En Claude Code, los investigadores crearon un CLAUDE.md que intentaba redirigir las solicitudes del agente hacia un servidor bajo su control. Reportaron que consiguieron el cambio de configuración aproximadamente el 50 % de las veces. Esa ruta exponía el token de inicio de sesión, una credencial que permite actuar con una sesión autenticada.
La ejecución de código dentro de la misma sesión se consiguió en alrededor del 20 % de los intentos con Claude Code, según el informe. Las cifras corresponden a ataques y resultados distintos; el robo del token podía producirse antes de ejecutar código adicional.
La configuración puede extender el daño a otras sesiones
En la prueba con Codex, las instrucciones modificaban la configuración global del agente. Forever explica que ese cambio podía cargar el servidor añadido en sesiones posteriores, incluso al trabajar en otro proyecto. De ese hallazgo se desprende que cambiar de carpeta después del ataque deja pendiente revisar los ajustes alterados.
Los permisos también tienen funciones diferentes. La documentación actual de Anthropic distingue la aprobación de acciones de las restricciones del sandbox, el entorno que limita el acceso a archivos y a la red. En modo manual, Claude Code pide autorización para operaciones sensibles; un comando aprobado puede alcanzar archivos que los permisos del usuario permitan modificar.
Para reducir la exposición descrita, Forever recomienda trabajar desde la carpeta concreta del proyecto, revisar los AGENTS.md y CLAUDE.md de procedencia desconocida y mantener las aprobaciones y el aislamiento activados. También aconseja buscar servidores o destinos de conexión inesperados en la configuración.
Anthropic añade medidas para equipos: usar configuración administrada y auditar o bloquear cambios de ajustes durante las sesiones. Esos controles permiten vigilar la modificación que, en estas pruebas, convirtió unas instrucciones de texto en acceso persistente o exposición de credenciales.
