Los agentes de programación con IA, como Codex de OpenAI o Claude Code de Anthropic, leen archivos de instrucciones que encuentran en la carpeta donde los abres. Una empresa de seguridad descubrió que alguien aprovechó eso con un archivo escondido en la carpeta Descargas.
El intento se frenó a tiempo, pero deja una lección clara para cualquiera que use estas herramientas: la carpeta donde arrancas a tu agente importa mucho.
¿Qué pasó?
El 22 de octubre de 2026, los investigadores Gal Weizman y Omer Samet, de Forever Security, publicaron lo que encontraron en la computadora de un cliente. En la carpeta Descargas había un archivo llamado AGENTS.md, disfrazado de notas de ingeniería. Ese tipo de archivo sirve normalmente para darle indicaciones a un agente de IA sobre cómo trabajar en un proyecto.
El problema es que esa misma carpeta era la carpeta de trabajo del agente. Al abrirlo ahí, el agente leyó el archivo y trató de cambiar su propia configuración e instalar un paquete malicioso de npm, que es el catálogo de librerías de JavaScript. Forever asegura que detuvo la actividad antes de que se ejecutara código. La empresa no pudo averiguar cómo llegó el archivo a esa computadora.
Después, el equipo repitió el ataque en su laboratorio. Según Forever, con Codex funcionó en alrededor de 9 de cada 10 intentos usando una carga inofensiva. Con Claude Code también logró resultados, aunque con menos frecuencia. BleepingComputer, que cubrió el hallazgo el 25 de octubre, explica que la técnica con Claude Code usó un archivo CLAUDE.md en lugar de AGENTS.md.
¿Por qué te importa?
Los navegadores como Chrome, Edge y Firefox guardan por defecto lo que descargas en la carpeta Descargas. Los investigadores sostienen que una página web podría dejar ahí un archivo sin que lo notes, y crearon una prueba de concepto para demostrarlo. Si después abres tu agente en esa carpeta, este puede tomar el archivo como instrucciones legítimas.
Lo más llamativo es que no se trata de un error de programación. Los propios investigadores dicen que OpenAI y Anthropic no tienen nada que parchar, porque el agente hace justo lo que fue diseñado para hacer: seguir las instrucciones de su carpeta. El riesgo está en confiar en una carpeta donde internet puede escribir.
Según la telemetría de Forever, cerca de la mitad de sus clientes ha ejecutado un agente de programación desde Descargas. Es un hábito común cuando descargas un proyecto comprimido y quieres revisarlo rápido.
¿Qué puedes hacer?
- No abras tu agente de IA dentro de la carpeta Descargas. Mueve el proyecto a su propia carpeta y arranca el agente en la raíz de ese proyecto, como recomiendan OpenAI y Anthropic.
- Antes de dejar que un agente trabaje, revisa los archivos
AGENTS.md,CLAUDE.mdo parecidos que tú no escribiste, sobre todo en repositorios recién clonados. - Mantén activadas las confirmaciones antes de ejecutar comandos y el modo aislado (sandbox) del agente. Desconfía de cualquier texto que te pida apagarlos.
- Revisa la configuración de tu agente por si aparecen servidores de herramientas o direcciones de API que no agregaste tú.
- Si sospechas que algo se ejecutó, cambia tus llaves y sesiones del agente y revisa el equipo con calma antes de seguir usándolo.
Sigue leyendo
- Anuncios en Google llevan a instaladores falsos de Claude para Mac
- LiteLLM 1.107.0 traía malware: revisa si la instalaste
Fuentes
- Forever Security: Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web
- BleepingComputer: AI coding agents hijacked using AGENTS.md file in Downloads folder
Imagen de portada: foto de Rahul Pandit en Pexels.