Un archivo AGENTS.md en Descargas basta para manipular a Codex o Claude Code: por qué no debes abrir tu agente de IA en esa carpeta

Los agentes de IA para programar, como Codex de OpenAI, Claude Code de Anthropic o Cursor, ya no los usan solo los programadores. Mucha gente los abre en el terminal para ordenar archivos, convertir documentos o revisar algo que se acaba de bajar. Y eso tiene un riesgo que ha explicado esta semana la empresa de seguridad Forever Security, según ha contado BleepingComputer.

Qué es un AGENTS.md

Es un archivo de texto con instrucciones para el agente: qué herramientas usar, cómo pasar las pruebas o qué normas seguir en el código. Claude Code usa uno parecido llamado CLAUDE.md. Los agentes leen automáticamente el que encuentran en la carpeta donde se abren y siguen lo que dice. No es un programa, pero si las instrucciones son malas, el agente puede ejecutar órdenes, instalar paquetes o cambiar ajustes con los permisos que tenga.

Lo que encontraron

Los investigadores dieron con el problema en el ordenador de un cliente: su agente intentó instalar un paquete malicioso de npm llamado «function-color». El origen era un AGENTS.md en la carpeta de Descargas, que además era la carpeta desde la que se había abierto el agente. No llegaron a saber cómo había acabado allí ese archivo.

Lo que sí demostraron es que una web puede descargarlo sin que el usuario haga nada. Chrome, Edge y Firefox guardan por defecto las descargas en esa carpeta sin preguntar, aunque muestran un aviso. Brave, en las pruebas de BleepingComputer, pidió permiso antes de bajarlo. «Descargas es la única carpeta en la que la web puede escribir por su cuenta», resumen en Forever Security.

Con un archivo de prueba inofensivo que solo abría la calculadora, consiguieron que Codex obedeciera en el 90 % de los intentos. En otra prueba, un CLAUDE.md malicioso desvió el tráfico de Claude Code hacia un servidor suyo, lo que dejó a la vista el token de la cuenta y les permitió ejecutar código en cerca de la mitad de los intentos. Según los datos de la empresa, solo Claude Code se ha abierto más de 1.300 veces desde la carpeta de Descargas en los equipos de sus clientes.

De momento esta información viene de una sola fuente, la propia empresa que lo ha investigado a través de BleepingComputer. Los investigadores dicen además que no hay nada que OpenAI o Anthropic tengan que parchear: el agente hace exactamente lo que se espera de él, que es seguir las instrucciones de su carpeta.

Cómo protegerte

• No abras nunca un agente en Descargas, ni en tu carpeta personal entera. OpenAI y Anthropic recomiendan abrirlo en la carpeta del proyecto concreto en el que va a trabajar.
• Si quieres que trabaje con algo que te has bajado, muévelo antes a una carpeta nueva y vacía y abre el agente ahí.
• Lee los AGENTS.md o CLAUDE.md que no hayas escrito tú antes de dejar que el agente los siga, sobre todo si vienen de un proyecto descargado.
• No desactives las confirmaciones ni el aislamiento. Que el agente te pregunte antes de ejecutar órdenes o instalar paquetes es lo que puede frenar el ataque.
• Prueba el código dudoso en un entorno aparte, como una máquina virtual o un contenedor, y no en tu ordenador de trabajo.

La carpeta donde abres el agente es la que decide qué instrucciones va a obedecer. Elígela tú, y que no sea Descargas.