Un archivo AGENTS.md en la carpeta Descargas basta para secuestrar agentes de programación con IA
Forever Security encontró el ataque en el equipo de un cliente y lo reprodujo contra Codex con 90 % de éxito. Una variante con CLAUDE.md expuso el token OAuth de Claude Code.
Investigadores de Forever Security hallaron en la carpeta Descargas de un cliente un archivo AGENTS.md malicioso que llevó a un agente de programación a intentar instalar un paquete npm falso llamado «function-color», informó BleepingComputer el 25 de octubre.
Los archivos AGENTS.md y CLAUDE.md son texto plano con instrucciones para los agentes: qué herramientas usar, cómo correr pruebas y qué convenciones seguir. Los agentes los cargan solos desde su directorio de trabajo, que en este caso era ~/Downloads. «No hay nada aquí que OpenAI o Anthropic tengan que parchear. Un agente que sigue el AGENTS.md de su carpeta hace exactamente aquello para lo que fue creado», dicen los investigadores.
Según Forever, Descargas «es la única carpeta en la que la web puede escribir por su cuenta». Chrome, Edge y Firefox guardan ahí los archivos sin preguntar, y una página puede bajar un AGENTS.md en silencio. El investigador Gal Weizman dijo que cientos de clientes corren agentes desde esa carpeta y que solo Claude Code lanzó más de 1,300 sesiones desde ahí.
En pruebas con una carga inofensiva que abría la calculadora, el ataque funcionó contra OpenAI Codex 90 % de las veces. Con un CLAUDE.md que desviaba el tráfico de Claude Code a un servidor de los investigadores, se expuso el token OAuth y se ejecutó código en cerca de la mitad de los intentos.
La recomendación es no usar ~/Downloads como directorio de trabajo de un agente, porque puede contener archivos no confiables que el agente leería como instrucciones.
Fuentes: BleepingComputer: «AI coding agents hijacked using AGENTS.md file in Downloads folder», 25 de octubre de 2026; The Hacker News: «Malicious File in Downloads Folder Tries to Trick AI Coding Agent Into Installing Malware», 26 de octubre de 2026.