Claude Code y Codex obedecen un archivo que cualquier sitio web puede dejar en tus Descargas

Un archivo de texto que un sitio web guarda en la carpeta Descargas ahora puede darle órdenes al agente de programación con IA de tu computadora. Investigadores de Forever Security encontraron en el equipo de un cliente un archivo AGENTS.md colocado allí a propósito, el documento de instrucciones en texto simple que herramientas como Codex, de OpenAI, leen al iniciarse. El archivo le había indicado al agente que instalara un malware conocido. Si alguna vez abriste Claude Code o Codex desde Descargas para ordenar la carpeta o trabajar en un archivo que acababas de bajar, le diste a esa carpeta el mismo nivel de confianza que a uno de tus propios proyectos.

El agente no hizo nada que contradijera sus propias reglas. AGENTS.md y su equivalente para Claude, CLAUDE.md, existen para que un proyecto pueda indicarle al agente qué herramientas usar y cómo ejecutar sus pruebas, y el agente está diseñado para seguir esas instrucciones. El punto que plantean los investigadores es que Descargas es la única carpeta que la web puede llenar por sí sola. «No hay nada que OpenAI o Anthropic puedan corregir aquí», escriben. «Un agente que sigue el archivo AGENTS.md de su carpeta está haciendo exactamente aquello para lo que fue creado».

El archivo real era un documento de 13 KB presentado como una guía de ingeniería, con el ataque escondido casi al final y redactado con el tono sereno de una nota de configuración. Le indicaba a Codex que agregara a su configuración un servidor de «herramientas del proyecto» e instalara un paquete de npm llamado function-color, que los investigadores describen como malware de una campaña que pasó inadvertida durante aproximadamente dos años. El software de Forever bloqueó la instalación antes de que se ejecutara código alguno. En las pruebas del equipo, realizadas sobre todo con un sustituto inofensivo que solo abría la calculadora, Codex cumplió las instrucciones del archivo en más del 90 por ciento de los intentos; el paquete real también llegó a ejecutarse una vez dentro de una máquina virtual aislada. El cambio se guarda en el archivo de configuración de Codex para todo el equipo, por lo que todas las sesiones posteriores de Codex cargan el servidor del atacante, sin importar la carpeta.

Fue más difícil engañar a Claude Code. El equipo escribió su propio CLAUDE.md para convencer a Claude de que dirigiera el tráfico de su API a un servidor controlado por el atacante, presentado como si fuera la puerta de enlace de una empresa. Esa única configuración entrega el token de inicio de sesión de Claude, que los investigadores reprodujeron contra la API real de Anthropic para hacerse pasar por la víctima, y permite que el servidor falso responda como si fuera el modelo y envíe comandos con el entorno aislado desactivado. Claude pide a una persona que apruebe un cambio de configuración de este tipo y a menudo se niega, pero aun así la modificación se realizó aproximadamente la mitad de las veces.

Conseguir que el archivo llegue a un equipo lleva menos de lo que uno podría pensar. Por defecto, Chrome, Edge y Firefox guardan las descargas en esa carpeta sin preguntar dónde hacerlo, y una página puede elegir el nombre y el contenido del archivo. BleepingComputer, que informó sobre los hallazgos, visitó la página de prueba de concepto de los investigadores y observó cómo esta descargaba un AGENTS.md inofensivo. Brave pidió permiso primero. Gal Weizman, investigador de Forever, le dijo al medio que cientos de clientes de la empresa ejecutan Claude Code, Codex o el agente de línea de comandos de Cursor desde Descargas, y que Claude Code por sí solo había iniciado allí más de 1.300 sesiones.

La investigación deja algunas preguntas sin resolver. Forever no pudo establecer cómo llegó el archivo malicioso al equipo de su cliente, y el ataque todavía requiere que alguien inicie después un agente desde esa carpeta. Chrome, Edge y Firefox sí muestran un aviso de descarga, que un usuario atento podría notar. El payload real fue escrito para macOS. Forever también vende software de monitoreo para agentes de IA, así que la empresa tiene un interés comercial en el riesgo que describe, y el informe no incluye respuestas de OpenAI ni Anthropic. Las herramientas involucradas se venden en todo el mundo, por lo que la exposición es la misma en todos los mercados donde las usan los desarrolladores.

La defensa depende, sobre todo, de los hábitos. Nunca inicies un agente de programación desde Descargas: ejecútalo desde la carpeta del proyecto en el que debe trabajar, que es lo que ya recomiendan OpenAI y Anthropic. Lee cualquier AGENTS.md o CLAUDE.md que no hayas escrito tú antes de que el agente lo vea, y mantén activados los avisos de aprobación y los entornos aislados. En el archivo de configuración de Codex, busca una entrada de servidor que no hayas agregado. En la configuración de Claude de un proyecto, busca una dirección de API que nunca hayas establecido. Si encuentras una, considera robado el token de inicio de sesión y revócalo; considera comprometido cualquier equipo que haya instalado function-color, paquete que npm ya retiró.

Forever publicó su informe el 22 de octubre y la cobertura de BleepingComputer apareció el 25 de octubre. Los investigadores dicen que cualquier agente que lea un archivo de instrucciones y pueda modificar su propia configuración puede ser manipulado de la misma manera, lo que convierte a Codex y Claude Code en los dos primeros nombres de una lista más larga. Antes, una descarga del navegador era inofensiva hasta que alguien la abría. Ahora, el archivo se abre por sí solo en cuanto un agente empieza a leer la carpeta.

Etiquetas: OpenAI, ciberseguridad, Anthropic, agentes de IA, Claude Code, Forever Security