Un archivo en Descargas puede engañar a tu asistente de programación con IA

Qué ha pasado

La empresa de seguridad Forever Security publicó el 22 de octubre los resultados de una investigación sobre los agentes de IA para programar, esas herramientas que leen y modifican código en tu ordenador siguiendo tus instrucciones. Encontraron, en el ordenador de un cliente, un archivo llamado AGENTS.md escondido en la carpeta Descargas y disfrazado de notas técnicas. Contenía órdenes pensadas para que el agente instalase un paquete malicioso. BleepingComputer (se abre en otra pestaña) lo recogió el 25 de octubre.

El mecanismo es simple. Estos agentes, al abrirse en una carpeta, leen de forma automática los archivos de instrucciones que encuentran allí (como AGENTS.md o CLAUDE.md) y los toman como orden. Una web puede dejar un archivo en Descargas sin que hagas clic en nada especial, porque muchos navegadores guardan los archivos ahí por defecto. Si después abres el agente desde Descargas, obedece a lo que alguien ha dejado allí.

Los investigadores probaron la idea con herramientas conocidas. Con Codex, de OpenAI, el código malicioso llegó a ejecutarse en más del 90 % de los intentos. Con Claude Code, de Anthropic, la herramienta siguió las instrucciones maliciosas en torno a la mitad de las veces, lo que habría permitido robar un token de acceso a la cuenta. Los autores subrayan que no consideran que sea un fallo de ninguno de los productos que haya que parchear: es un hueco entre cómo confían los agentes en una carpeta y cómo la web puede escribir en ella. Según su telemetría, cerca de la mitad de sus clientes ejecutan agentes de programación dentro de la carpeta Descargas.

Por qué importa

No hace falta ser programador para sacar algo útil de esto. El principio es general: cuando una IA tiene permiso para actuar sobre tus archivos o tus programas, cualquier texto que lea puede acabar funcionando como una orden. Así que un documento, una página web o un correo que parecen inocentes pueden contener instrucciones dirigidas a la IA y no a ti. Cuanto más poder le des a un asistente (instalar cosas, ejecutar comandos, acceder a cuentas), más importa dónde lo dejas trabajar y qué le dejas leer.

Qué puedes hacer

• No abras agentes de IA en carpetas genéricas como Descargas o tu carpeta personal completa. Trabaja desde la carpeta del proyecto concreto y dale solo el acceso que necesita.
• Revisa los archivos de instrucciones que no hayas escrito tú, también los de repositorios que acabas de descargar, antes de que la herramienta los siga. Mantén activas las confirmaciones y los entornos aislados que traen estas herramientas.
• Si sospechas, actúa: los autores recomiendan cambiar credenciales y revisar la configuración de la herramienta, porque un token robado es una sesión abierta para un atacante.