Investigadores descubrieron que archivos de instrucciones maliciosos (como `AGENTS.md`) pueden engañar a agentes de IA como OpenAI Codex y Claude Code para instalar software dañino o robar tokens de acceso. El ataque aprovecha que los navegadores descargan archivos automáticamente en la carpeta `~/Downloads`, la cual es frecuentemente utilizada como directorio de trabajo por los usuarios. Para evitar este riesgo, se recomienda ejecutar los agentes únicamente en directorios de proyectos específicos y evitar el uso de la carpeta de descargas.





Los investigadores encontraron un archivo de instrucciones markdown AGENTS malicioso en la carpeta de Descargas de un cliente que engañó a un agente de codificación de IA para que instalara un paquete npm fraudulento.

Reprodujeron el ataque contra OpenAI Codex y demostraron una técnica relacionada contra Claude Code para filtrar tokens OAuth y secuestrar la cuenta utilizando únicamente las instrucciones maliciosas.

Los archivos Markdown como AGENTS.md son archivos de texto plano que contienen instrucciones específicas del proyecto para los agentes de codificación de IA, como las herramientas que debe usar, cómo ejecutar las pruebas y las convenciones de codificación a seguir.

Agentes siguiendo instrucciones maliciosas

Investigadores de Forever Security, una empresa que monitorea los riesgos introducidos por los agentes de IA y el software autónomo, descubrieron la táctica en la computadora de un cliente, donde un agente de codificación intentó instalar el paquete npm malicioso ‘function-color’.

La investigación rastreó el intento del agente de IA de instalar un paquete npm malicioso hasta un archivo AGENTS.md en la carpeta ~/Downloads del cliente, que también servía como directorio de trabajo del agente.

Los agentes cargan automáticamente los archivos aplicables de su directorio de trabajo y utilizan las instrucciones contenidas para guiar sus acciones.

Aunque estos archivos no son ejecutables, las instrucciones maliciosas contenidas en ellos pueden llevar a que los agentes de IA ejecuten comandos, instalen paquetes o cambien configuraciones utilizando las herramientas y permisos disponibles.

"No hay nada aquí que OpenAI o Anthropic deban parchear. Un agente que sigue el AGENTS.md en su carpeta está haciendo exactamente aquello para lo que fue construido", afirman los investigadores [https://forever.security/blog/hijacking-ai-agents-via-downloads-folder].

Las pruebas de los investigadores confirmaron que un atacante podría usar dicho archivo para manipular a OpenAI Codex y Claude Code para que ejecuten código o roben credenciales.

Aunque los investigadores no pudieron determinar cómo llegó el archivo de instrucciones maliciosas a la ubicación ~/Downloads del objetivo, explicaron que el simple hecho de visitar una página maliciosa podría depositar una carga útil sin ninguna interacción del usuario.

En un informe de esta semana, Forever Security afirma que "~/Downloads es especial. Es la única carpeta en la que la web puede escribir por sí misma", y que "una página web puede descargar un archivo llamado AGENTS.md en su carpeta de Descargas, silenciosamente".

Los investigadores crearon una prueba de concepto (PoC) para demostrar cómo el ataque podría depositar un archivo malicioso en la ubicación ~/Downloads sin que el usuario se diera cuenta.

Al verificar la página PoC [https://weizmangal.com/public/download-test.html?name=AGENTS.md&content=c2Vuc2l0aXZlIGRhdGEgaGVyZQpsaW5lIDI%3D], se descargó un archivo AGENTS.md con contenido inofensivo, concretamente las cadenas "sensitive data here" y "line 2".

Por defecto, muchos navegadores populares, incluidos Chrome, Edge y Firefox, guardan los archivos descargados de la web en el directorio ~/Downloads del usuario sin pedirles que elijan una ubicación de guardado para cada descarga.

Las pruebas en otros navegadores, como Brave, solicitaron al usuario que aprobara la descarga, lo que debería ser suficiente para alertar al usuario de que se descargó un archivo.

Sin embargo, Chrome, Edge y Firefox muestran notificaciones de descarga por defecto, alertando a los usuarios cuando un archivo ha sido guardado localmente.

Después de depositar el archivo en Descargas, el ataque requeriría que el objetivo iniciara su agente de IA en ese mismo directorio para que pudiera cargar el archivo de instrucciones y procesar sus instrucciones maliciosas.

El investigador de Forever, Gal Weizman, señaló que esta es una práctica común, ya que las personas suelen utilizar agentes de IA para organizar esa carpeta o para actuar sobre un archivo recién descargado.

Weizman afirma que las estadísticas internas muestran que cientos de clientes ejecutan agentes de IA, incluidos Claude Code, OpenAI Codex y Cursor CLI, desde sus carpetas ~/Downloads. Solo Claude Code inició más de 1,300 sesiones desde esa ubicación.

Pruebas muestran que el ataque es viable

Los investigadores probaron su cadena de ataque reconstruida contra Codex utilizando una carga útil inofensiva que simplemente abría la aplicación de calculadora, registrando una tasa de éxito del 90%.

En una prueba separada, utilizaron un archivo CLAUDE.md malicioso para redirigir el tráfico de la API de Claude Code a un servidor que ellos controlaban. Esto expuso el token OAuth del agente, permitiendo que el servidor suplantara al modelo y devolviera llamadas a herramientas que ejecutaron código en aproximadamente el 50% de las pruebas.

Los investigadores afirman que el riesgo es una combinación del comportamiento previsto del navegador y del agente, lo que pone la responsabilidad de la precaución y la defensa directamente en el usuario.

Los usuarios deben evitar configurar ~/Downloads como el directorio de trabajo de un agente de codificación de IA porque la ubicación puede contener archivos no confiables que el agente podría interpretar como instrucciones.

OpenAI y Anthropic recomiendan ejecutar sus agentes de codificación de IA desde el directorio del proyecto en el que están destinados a trabajar.

Mantener el directorio de trabajo limitado al proyecto relevante ayuda a proporcionar al agente el contexto adecuado y limita su alcance de trabajo, reduciendo el riesgo de que procese archivos no confiables en ubicaciones no relacionadas.

La recomendación común de OpenAI y Anthropic es iniciar un agente de codificación de IA en la raíz del proyecto específico en el que debe trabajar, en lugar de en el directorio principal o en un directorio padre amplio. Mantenga su área de trabajo tan estrecha como sea práctico y amplíe el acceso solo cuando sea necesario.

La idea clave es que el directorio de trabajo define el contexto del proyecto predeterminado del agente y, dependiendo de la herramienta, ayuda a establecer su límite de acceso al sistema de archivos.

Los usuarios deben revisar archivos de instrucciones AGENTS.md, CLAUDE.md y similares que no conozcan antes de permitir que un agente de codificación de IA los siga, mantener habilitados los avisos de aprobación y las protecciones de sandbox, y probar el código potencialmente no confiable en un entorno aislado antes de ejecutarlo en su sistema principal.

Fuente:
BleepingComputer