Un archivo AGENTS.md malicioso secuestra agentes de programación con IA desde Descargas

Investigadores de Forever Security afirman que un archivo AGENTS.md malicioso en la carpeta Descargas de un cliente llevó a un agente de programación con IA a intentar instalar el paquete npm malicioso function-color. Los investigadores reprodujeron ataques relacionados contra OpenAI Codex y Claude Code.

Los agentes de programación con IA pueden cargar archivos de instrucciones de su directorio de trabajo y actuar según su contenido con las herramientas y los permisos disponibles. Los investigadores no pudieron determinar cómo llegó el archivo a la carpeta Descargas del cliente. Presentaron una prueba de concepto en la que una página web descargaba allí un archivo AGENTS.md sin avisar. En la prueba de BleepingComputer, el archivo descargado contenía texto inofensivo.

En pruebas con cargas útiles inofensivas, los investigadores comunicaron una tasa de éxito del 90% para la cadena de ataque reconstruida contra Codex. En otra prueba con Claude Code, un archivo CLAUDE.md malicioso redirigió el tráfico de la API a un servidor controlado por los investigadores y expuso un token OAuth. Después, el servidor devolvió llamadas a herramientas que ejecutaron código en aproximadamente el 50% de las pruebas.

Gal Weizman, investigador de Forever Security, dijo a BleepingComputer que los clientes ejecutan agentes de programación desde Descargas. Según las estadísticas internas de la empresa, Claude Code había iniciado por sí solo más de 1.300 sesiones desde esa carpeta. Los investigadores recomiendan iniciar los agentes en el directorio específico del proyecto para el que están previstos y revisar los archivos de instrucciones desconocidos antes de usarlos.