Hackers pueden tomar el control de Codex y Claude Code mediante archivos maliciosos en la carpeta de descargas
Hackers pueden tomar el control de Codex y Claude Code mediante archivos maliciosos en la carpeta de descargas
Un simple archivo de texto en ~/Downloads puede hacer que agentes de IA de programación cambien su configuración, instalen malware o filtren tokens de autorización, según Forever Security.
Hackers pueden tomar el control de OpenAI Codex y Claude Code de Anthropic mediante archivos maliciosos colocados en la carpeta de descargas del usuario.
Un simple archivo de texto en ~/Downloads puede hacer que los agentes de IA cambien su propia configuración, instalen malware o revelen tokens de autorización del usuario.
La historia comenzó cuando el sistema de protección de Forever Security bloqueó el intento de un agente de IA de instalar el paquete npm function-color, que distribuía malware.
Durante la investigación, los especialistas descubrieron que la orden de instalación provenía de un archivo AGENTS.md ubicado en ~/Downloads en el ordenador del cliente.
«Esto no es malware ordinario», escribieron los investigadores Gal Weizman y Omer Samet. «AGENTS.md es un archivo al que un agente debe confiar por su propia naturaleza y cuyas instrucciones está obligado a seguir. Y ~/Downloads es la única carpeta en la que un sitio web puede colocar un archivo sin un solo clic y sin permiso del usuario. Juntas, estas características permiten que un sitio web entregue en silencio comandos que luego ejecuta tu propio agente. Markdown se está convirtiendo en nuevo código ejecutable.»
Los investigadores reprodujeron el ataque contra OpenAI Codex y Claude Code de Anthropic:
- Codex siguió instrucciones maliciosas en más del 90% de las pruebas.
- Claude Code fue susceptible en aproximadamente el 50% de los casos.
Según los investigadores, «no hay nada que OpenAI y Anthropic deban arreglar aquí». Un agente que ejecuta instrucciones desde un archivo en su directorio de trabajo se comporta exactamente como fue diseñado, al igual que un navegador que muestra una página de phishing técnicamente está cumpliendo su función.
Recomiendan no ejecutar agentes de IA de desarrollo desde la carpeta de descargas y revisar cuidadosamente cualquier archivo AGENTS.md o CLAUDE.md que el usuario no haya creado antes de conceder acceso al agente a ese directorio.
Esto también se aplica a repositorios que un desarrollador acaba de copiar a su ordenador.
Si alguna vez ejecutaste Codex o Claude Code desde la carpeta de descargas, conviene revisar los archivos de configuración en busca de servidores y enlaces desconocidos.
Por qué es importante
AnálisisLos agentes de IA para programación suelen tratar los archivos Markdown de instrucciones locales como contexto confiable, por lo que colocar en silencio un archivo en Descargas puede convertir texto común en un canal remoto para ejecutar código malicioso y robar tokens.
Debatir en la comunidad
Comparte tus preguntas e ideas con desarrolladores
Relacionado en el ecosistema
Guías prácticas, terminología y skills de agentes
Una línea en AGENTS.md hizo que Claude Code y Codex siguieran el código en lugar de documentación obsoleta
Investigadores mostraron que los agentes de codificación a menudo siguen documentación obsoleta incluso cuando detectan contradicciones con el código real. Una instrucción en AGENTS.md aumentó el seguimiento del código existente del 4% al 91%.
Proyectos de Claude Code: cómo una IA coordina un equipo de agentes autónomos
Análisis exhaustivo de Proyectos de Claude Code: arquitectura Coordinator y Threads, ramas paralelas, memoria compartida MEMORY.md y gestión de agentes en la nube.
Parte II. Cómo trabajar con Codex + optimización/seguridad/equipo
Codex no es un autocompletado de código en el chat, sino un agente de ingeniería completo: lee el repositorio, planifica cambios, edita archivos, ejecuta pruebas, revisa sus propio...
Claude Code
Agente terminal oficial de desarrollo de Anthropic que opera directamente en la línea de comandos a través de Claude 3.7 Sonnet, con soporte nativo para Bash, Git, sistema de archivos y protocolo MCP.
OpenAI demuestra que agentes de IA aislados pueden comunicarse sin red mediante la caché del procesador
OpenAI describió experimentos en los que agentes de IA en entornos aislados transmitieron información por canales laterales, como la caché de CPU, lo que cuestiona el aislamiento por red y archivos.
improve-codebase-architecture
Official improve codebase architecture integration by @mattpocock for AI agent workflows.