Claude Code y Codex obedecen a un archivo que cualquier web puede dejar en tus Descargas

Un archivo de texto que una web guarda en la carpeta Descargas puede dar órdenes al agente de programación con IA de tu ordenador. Los investigadores de Forever Security encontraron en el equipo de un cliente un archivo AGENTS.md colocado allí a propósito —un documento de instrucciones en texto plano que herramientas como Codex, de OpenAI, leen al iniciarse— y que ordenaba al agente instalar un conocido programa malicioso. Si alguna vez has abierto Claude Code o Codex desde Descargas para poner orden o trabajar con un archivo que acababas de descargar, has concedido a esa carpeta la misma confianza que a uno de tus propios proyectos.

El agente no hizo nada que contraviniera sus propias reglas. AGENTS.md y su equivalente para Claude, CLAUDE.md, existen para que un proyecto pueda indicar al agente qué herramientas debe usar y cómo ejecutar las pruebas, y el agente está diseñado para seguir esas instrucciones. Los investigadores señalan que Descargas es la única carpeta que la web puede llenar por sí sola. «No hay nada que OpenAI o Anthropic puedan corregir con un parche», escriben. «Un agente que sigue las instrucciones del archivo AGENTS.md de su carpeta está haciendo exactamente aquello para lo que fue diseñado».

El archivo real era un documento de 13 KB titulado como si fueran directrices de ingeniería. El ataque estaba escondido casi al final y redactado con el tono sereno de una nota de instalación. Ordenaba a Codex que añadiera a su configuración un servidor de «herramientas del proyecto» e instalara un paquete npm llamado function-color, que los investigadores describen como malware de una campaña que pasó inadvertida durante aproximadamente dos años. El software de Forever bloqueó la instalación antes de que se ejecutara código alguno. En las pruebas del equipo, realizadas sobre todo con un sustituto inofensivo que solo abría la calculadora, Codex cumplió las órdenes del archivo en más del 90 % de los intentos; el paquete real también llegó a ejecutarse una vez en una máquina virtual aislada. El cambio se guarda en el archivo de configuración de Codex para todo el equipo, de modo que todas las sesiones posteriores de Codex cargan el servidor del atacante, sea cual sea la carpeta.

Claude Code fue más difícil de engañar. El equipo creó su propio archivo CLAUDE.md para convencer a Claude de que dirigiera el tráfico de su API a un servidor controlado por el atacante, camuflado como una pasarela corporativa. Ese único ajuste entrega el token de inicio de sesión de Claude, que los investigadores reutilizaron contra la API real de Anthropic para suplantar a la víctima. Además, permite que el servidor falso responda como si fuera el modelo y envíe comandos con el entorno aislado desactivado. Claude pide a una persona que apruebe un cambio de configuración de este tipo y a menudo se niega, pero aun así el cambio llegó a aplicarse aproximadamente la mitad de las veces.

Conseguir que el archivo llegue a un ordenador es más fácil de lo que parece. Por defecto, Chrome, Edge y Firefox guardan las descargas en esa carpeta sin preguntar dónde hacerlo, y una página puede elegir el nombre y el contenido del archivo. BleepingComputer, que informó sobre los hallazgos, visitó la página de prueba de concepto de los investigadores y vio cómo descargaba un archivo AGENTS.md inofensivo. Brave pidió permiso antes. Gal Weizman, investigador de Forever, explicó al medio que cientos de clientes de la empresa ejecutan Claude Code, Codex o el agente de línea de comandos de Cursor desde Descargas, y que Claude Code, por sí solo, había iniciado allí más de 1.300 sesiones.

La investigación deja algunas incógnitas. Forever no pudo determinar cómo llegó el archivo malicioso al ordenador de su cliente, y el ataque sigue requiriendo que alguien inicie después un agente desde esa carpeta. Chrome, Edge y Firefox sí muestran un aviso de descarga que un usuario atento podría ver. La carga maliciosa real estaba escrita para macOS. Forever también vende software de supervisión para agentes de IA, así que la empresa tiene un interés comercial en el riesgo que describe; además, el informe no incluye ninguna respuesta de OpenAI ni de Anthropic. Las herramientas afectadas se comercializan en todo el mundo, por lo que la exposición es la misma en todos los mercados donde las usan los desarrolladores.

La defensa depende, sobre todo, de los hábitos. No inicies nunca un agente de programación desde Descargas: ejecútalo desde la carpeta del proyecto en el que debe trabajar, tal como ya recomiendan OpenAI y Anthropic. Lee cualquier archivo AGENTS.md o CLAUDE.md que no hayas escrito tú antes de que el agente lo vea, y mantén activados los avisos de aprobación y los entornos aislados. En el archivo de configuración de Codex, busca entradas de servidores que no hayas añadido. En la configuración de Claude de un proyecto, comprueba si hay una dirección de API que no hayas establecido. Si encuentras alguna, considera que el token de inicio de sesión está comprometido y revócalo; y si se ha instalado function-color, que npm ya ha retirado, considera comprometido cualquier equipo afectado.

Forever publicó su informe el 22 de octubre y BleepingComputer informó sobre él el 25 de octubre. Los investigadores sostienen que cualquier agente que lea un archivo de instrucciones y pueda modificar su propia configuración puede ser manipulado del mismo modo, lo que convierte a Codex y Claude Code en los dos primeros nombres de una lista que podría ser mucho más larga. Antes, una descarga del navegador era inofensiva hasta que alguien la abría. Ahora, el archivo se abre por sí solo en cuanto un agente empieza a leer la carpeta.

Etiquetas: OpenAI, ciberseguridad, Anthropic, agentes de IA, Claude Code, Forever Security