Los archivos markdown como AGENTS.md son documentos de texto plano que reúnen las indicaciones específicas de un proyecto para los agentes de programación con IA: qué herramientas emplear, cómo ejecutar las pruebas o qué convenciones de código respetar.
Agentes que obedecen instrucciones maliciosas
Forever Security, empresa dedicada a vigilar los riesgos que introducen los agentes de IA y el software autónomo, identificó esta táctica en el ordenador de un cliente, donde un agente de programación intentó instalar el paquete npm malicioso 'function-color'.
La investigación relacionó ese intento con un archivo AGENTS.md ubicado en la carpeta ~/Downloads del cliente, que además hacía las veces de directorio de trabajo del agente. Los agentes cargan de forma automática los archivos aplicables de su directorio de trabajo y usan las instrucciones que contienen para orientar sus acciones.
Aunque estos archivos no son ejecutables, las instrucciones maliciosas que incluyen pueden llevar a un agente de IA a ejecutar comandos, instalar paquetes o modificar configuraciones con las herramientas y los permisos de los que dispone.
Aquí no hay nada que OpenAI o Anthropic puedan parchear. Un agente que sigue el AGENTS.md de su carpeta hace exactamente aquello para lo que fue creado.
Las pruebas de los investigadores confirmaron que un atacante podría usar un archivo de este tipo para manipular OpenAI Codex y Claude Code y lograr que ejecutaran código o robaran credenciales.
Aunque no pudieron determinar cómo llegó el archivo de instrucciones malicioso a la ubicación ~/Downloads del objetivo, explicaron a BleepingComputer que basta con visitar una página maliciosa para que esta deposite una carga útil sin interacción del usuario.
En un informe de esta semana, Forever Security señala que "~/Downloads es especial. Es la única carpeta en la que la web puede escribir por su cuenta" y que "una página web puede descargar silenciosamente un archivo llamado AGENTS.md en tu carpeta Downloads".
Los investigadores crearon una prueba de concepto (PoC) para mostrar cómo el ataque podía colocar un archivo malicioso en ~/Downloads sin que el usuario lo notara. Cuando BleepingComputer verificó la página de la PoC, esta descargó un archivo AGENTS.md con contenido inofensivo, concretamente las cadenas "sensitive data here" y "line 2".
Por defecto, muchos navegadores populares, como Chrome, Edge y Firefox, guardan los archivos descargados de la web en el directorio ~/Downloads del usuario sin pedirle que elija una ubicación para cada descarga. Las pruebas de BleepingComputer en otros navegadores, como Brave, mostraban al usuario un aviso para aprobar la descarga, lo que debería bastar para alertarle de que se había descargado un archivo. No obstante, Chrome, Edge y Firefox muestran notificaciones de descarga por defecto, avisando de cuándo se ha guardado un archivo localmente.
Tras depositar el archivo en Downloads, el ataque requeriría que el objetivo lanzara su agente de IA en ese mismo directorio para que cargara el archivo de instrucciones y asimilara su contenido malicioso. El investigador de Forever Gal Weizman declaró a BleepingComputer que esta es una práctica habitual, ya que la gente suele usar agentes de IA para organizar esa carpeta o para actuar sobre un archivo recién descargado.
Weizman afirma que las estadísticas internas muestran que cientos de clientes ejecutan agentes de IA, incluidos Claude Code, OpenAI Codex y Cursor CLI, desde sus carpetas ~/Downloads. Solo Claude Code lanzó más de 1.300 sesiones desde esa ubicación, según contó el investigador a BleepingComputer.
Las pruebas confirman la viabilidad del ataque
Los investigadores probaron su cadena de ataque reconstruida contra Codex con una carga útil inofensiva que solo abría la aplicación de calculadora y registraron una tasa de éxito del 90 %.
En otra prueba usaron un archivo CLAUDE.md malicioso para redirigir el tráfico de API de Claude Code hacia un servidor que controlaban. Esto expuso el token OAuth del agente, lo que permitió al servidor suplantar al modelo y devolver llamadas a herramientas que ejecutaban código en aproximadamente el 50 % de las pruebas.
Los investigadores señalan que el riesgo combina el comportamiento previsto del navegador y del agente, lo que traslada directamente al usuario la responsabilidad de la precaución y la defensa.
Los usuarios deben evitar configurar ~/Downloads como directorio de trabajo de un agente de programación con IA, porque esa ubicación puede contener archivos no confiables que el agente interprete como instrucciones. OpenAI y Anthropic recomiendan ejecutar sus agentes de programación desde el directorio del proyecto en el que se pretende trabajar.
Limitar el directorio de trabajo al proyecto relevante ayuda a proporcionar al agente un contexto adecuado y acota su ámbito de acción, lo que reduce el riesgo de que procese archivos no confiables situados en ubicaciones no relacionadas. La recomendación habitual de OpenAI y Anthropic es iniciar un agente de programación con IA en la raíz del proyecto concreto en el que debe trabajar, en lugar de hacerlo en el directorio personal o en un directorio padre demasiado amplio. Conviene mantener su área de trabajo lo más estrecha posible y ampliar el acceso solo cuando sea necesario.
La idea clave es que el directorio de trabajo define el contexto de proyecto predeterminado del agente y, según la herramienta, ayuda a establecer su límite de acceso al sistema de archivos. Los usuarios deben revisar los archivos AGENTS.md, CLAUDE.md y similares que no conozcan antes de permitir que un agente de programación con IA los siga, mantener activados los avisos de aprobación y las protecciones de sandbox, y probar el código potencialmente no confiable en un entorno aislado antes de ejecutarlo en su sistema principal.
Con credenciales válidas, solo se bloquea el 37 % de las acciones de los atacantes
Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes ya usan credenciales válidas, la prevención cae de forma acusada. The Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta