Los hackers pueden secuestrar OpenAI Codex y Claude Code utilizando archivos maliciosos en la carpeta de descargas.

Un archivo de texto plano ubicado en la carpeta Descargas puede engañar a los agentes de codificación de IA para que modifiquen su configuración, instalen malware o expongan tokens de inicio de sesión.

Forever Security descubrió el riesgo tras impedir que un agente en el ordenador de un cliente real instalara un paquete npm malicioso conocido. Posteriormente, la empresa reprodujo rutas de ataque independientes contra OpenAI Codex y Anthropic Claude Code en pruebas controladas.

El incidente comenzó cuando Forever Security bloqueó la instalación de un paquete llamado function-color por parte de un agente de codificación de IA. Los investigadores rastrearon la orden hasta un archivo AGENTS.md almacenado en la carpeta ~/Descargas del cliente.

El archivo parecía un conjunto normal de notas técnicas, pero contenía instrucciones cuidadosamente redactadas que indicaban al agente que modificara su configuración e instalara el paquete.

Se desconoce el origen del archivo. Los investigadores no demostraron que un sitio web malicioso lo hubiera colocado en el equipo del cliente. En cambio, posteriormente demostraron que un sitio web podía distribuir un archivo con el mismo nombre mediante la descarga normal del navegador, creando una posible vía para el ataque.

Un archivo AGENTS.md es similar a un archivo README escrito para herramientas de IA. La documentación de OpenAI indica que Codex lee estos archivos antes de comenzar a trabajar y los utiliza para aprender las reglas, los comandos y otras instrucciones del proyecto. Claude Code utiliza CLAUDE.md con un propósito similar y lo lee al inicio de una conversación.