Agentes de codificación IA secuestrados mediante archivo AGENTS.md en carpeta Descargas

Los archivos markdown como AGENTS.md son textos planos que contienen instrucciones específicas del proyecto para agentes de codificación IA, como herramientas a usar, cómo ejecutar pruebas y convenciones de codificación.

Los agentes que siguen instrucciones maliciosas pueden ejecutar comandos, instalar paquetes o modificar configuraciones con las herramientas y permisos disponibles.

Forever Security, empresa que monitorea riesgos introducidos por agentes IA y software autónomo, descubrió la táctica en un equipo donde un agente de codificación intentó instalar el paquete npm ‘function-color’.

La investigación vinculó la tentativa de instalación a un archivo AGENTS.md en la carpeta ~/Downloads, que también funcionaba como directorio de trabajo del agente.

Por defecto, muchos navegadores guardan los archivos descargados en ~/Downloads sin solicitar ubicación, lo que permite que una página web deposite un AGENTS.md sin que el usuario lo note.

Al colocar el archivo en Descargas, el ataque requiere que la víctima inicie su agente IA desde ese mismo directorio para que cargue las instrucciones.

Según el investigador Gal Weizman, es común que los usuarios ejecuten agentes IA desde la carpeta Descargas para organizar archivos recién descargados.

Estadísticas internas revelan que cientos de clientes ejecutan agentes como Claude Code, OpenAI Codex y Cursor CLI desde ~/Downloads, con más de 1 300 sesiones de Claude Code en esa ubicación.

En pruebas, el ataque tuvo un 90 % de éxito al abrir la calculadora en Codex y un 50 % de éxito al desviar el tráfico API de Claude Code y robar su token OAuth.

Los investigadores afirman que el riesgo combina el comportamiento previsto del navegador y del agente, dejando la responsabilidad de la defensa al usuario.

Recomiendan no usar ~/Downloads como directorio de trabajo de agentes IA y comenzar los agentes desde la raíz del proyecto específico.

OpenAI y Anthropic aconinan ejecutar sus agentes desde el directorio del proyecto para limitar el alcance del acceso al sistema de archivos.

Los usuarios deben revisar AGENTS.md y CLAUDE.md sospechosos, mantener prompts de aprobación y protecciones en sandbox, y probar código no confiable en entornos aislados antes de ejecutarlo.

Una vez que los atacantes obtienen credenciales válidas, solo el 37 % de sus acciones son bloqueadas, lo que muestra que las métricas de prevención pueden ocultar accesos posteriores.