Un archivo de texto plano colocado en la carpeta de Descargas puede engañar a los agentes de programación de IA para que cambien su configuración, instalen malware o expongan tokens de inicio de sesión.

Forever Security descubrió el riesgo tras evitar que un agente en el ordenador de un cliente real instalara un paquete npm malicioso conocido. Posteriormente, la empresa reprodujo rutas de ataque independientes contra OpenAI Codex y Anthropic Claude Code en pruebas controladas.

El incidente comenzó cuando Forever Security bloqueó a un agente de programación de IA que intentaba instalar un paquete llamado function-color. Los investigadores rastrearon la orden hasta un archivo AGENTS.md almacenado en la carpeta ~/Downloads del cliente.

El archivo parecía un conjunto normal de notas de ingeniería, pero contenía instrucciones cuidadosamente escritas que ordenaban al agente cambiar su propia configuración e instalar el paquete.

El origen del archivo sigue siendo desconocido. Los investigadores no probaron que un sitio web malicioso lo hubiera colocado en la máquina del cliente. En su lugar, demostraron más tarde que un sitio web podría entregar un archivo con el mismo nombre mediante el comportamiento normal de descarga del navegador, creando una posible ruta para el ataque.

Un archivo AGENTS.md es similar a un README escrito para herramientas de IA. La documentación de OpenAI indica que Codex lee estos archivos antes de comenzar a trabajar y los utiliza para aprender reglas del proyecto, comandos y otras instrucciones. Claude Code utiliza CLAUDE.md para un propósito similar y lo lee al inicio de una conversación.

El peligro surge al combinar instrucciones de agentes confiables con una carpeta donde normalmente llegan las descargas web. Un archivo Markdown no puede ejecutarse por sí mismo, por lo que los controles del sistema operativo diseñados para programas descargados podrían no tratarlo como peligroso. El riesgo aparece cuando un agente de IA lee el texto como instrucciones confiables y utiliza sus propias herramientas para llevarlas a cabo.

El ataque no es totalmente automático. Tú debes ejecutar el agente de programación desde Descargas o permitir que procese el archivo de instrucciones plantado. El agente también debe tener suficiente acceso para editar archivos, ejecutar comandos, conectarse a Internet o instalar paquetes. Por lo tanto, los avisos de aprobación y los controles de sandbox pueden reducir la probabilidad de éxito.

El ataque a Codex crea persistencia

En las pruebas controladas de Forever Security, Codex siguió el archivo malicioso en más del 90% de los intentos. Las instrucciones persuadieron a Codex para añadir una entrada de servidor MCP en ~/.codex/config.toml, su archivo de configuración global, e iniciar una segunda sesión de Codex con las comprobaciones de aprobación y el sandbox desactivados.

Este cambio hizo que el ataque fuera persistente. Una vez que el servidor malicioso se escribió en la configuración global, las sesiones posteriores de Codex podían cargarlo incluso cuando movieras el proyecto a otra carpeta. La mayoría de las pruebas utilizaron un programa inofensivo, mientras que el paquete malicioso real se ejecutó una vez dentro de una máquina virtual aislada.

El paquete pertenecía a MALFEX, una campaña de malware de npm de larga duración dirigida a desarrolladores de Windows. Checkmarx descubrió que function-color importaba function-flag, que podía descargar y ejecutar silenciosamente un programa de Windows.

La campaña más amplia también utilizó paquetes capaces de entregar malware de acceso remoto y robar datos del navegador, Discord, Telegram y carteras de criptomonedas.

Claude Code expuso tokens

Claude Code requirió un método diferente. Los investigadores crearon un CLAUDE.md malicioso que pedía a Claude escribir un valor de ANTHROPIC_BASE_URL en .claude/settings.json. Esto redirigió el tráfico de la API de Claude a un servidor controlado por los investigadores y expuso el token OAuth incluido en las solicitudes.

Forever informó que Claude realizó el cambio en aproximadamente la mitad de sus pruebas. El equipo utilizó un token capturado contra el servicio de Anthropic y obtuvo acceso como si fuera la víctima. En algunas pruebas, el servidor falso también devolvió comandos de herramientas que llevaron a la ejecución de código. La ejecución en la misma sesión a través de un agente auxiliar funcionó aproximadamente una quinta parte de las veces.

La investigación se suma a la creciente evidencia de que los archivos de instrucciones y los complementos pueden convertirse en un riesgo para la cadena de suministro de software. Investigaciones anteriores encontraron que las habilidades maliciosas de agentes dirigidas a Claude Code y Codex podrían ocultar acciones dañinas de los escáneres automatizados.

Tú, como desarrollador, nunca debes iniciar Codex, Claude Code u otro agente de programación dentro de Descargas. Los archivos AGENTS.md y CLAUDE.md desconocidos deben revisarse antes de que un agente abra la carpeta. También debes mantener activas las comprobaciones de aprobación y los sandboxes, limitar el acceso del agente a la red y evitar instrucciones que soliciten opciones de omisión inseguras.

Los equipos de seguridad deben inspeccionar ~/.codex/config.toml en busca de servidores MCP desconocidos y revisar .claude/settings.json para detectar un ANTHROPIC_BASE_URL o proxy desconocido.

Encontrar function-color, configuraciones inesperadas del agente o tráfico de API redirigido debe tratarse como una posible vulneración. Los tokens afectados y las credenciales conectadas deben revocarse desde un dispositivo limpio, mientras que el sistema debe aislarse y revisarse en busca de malware.