Forever Security informó de que encontró un archivo malicioso AGENTS.md en la carpeta ~/Downloads de un cliente, que también era el directorio de trabajo de su agente de programación. El agente intentó instalar el paquete npm malicioso function-color; la empresa detuvo el intento antes de que se ejecutara código. BleepingComputer publicó el caso el 25 de octubre de 2026.
El archivo tenía que entrar en el contexto del agente
La cadena descrita dependía de que el agente cargase las instrucciones desde su contexto de trabajo. Tener el archivo en Downloads no ejecutaba por sí solo la cadena: el agente tenía que arrancar desde esa carpeta o cargar el archivo de otro modo.
Forever Security planteó que una página web podía descargar un archivo llamado AGENTS.md en Downloads. BleepingComputer comprobó una descarga de prueba cuyo archivo contenía texto inocuo. En sus pruebas, Chrome, Edge y Firefox guardaban las descargas en Downloads por defecto y mostraban avisos; Brave pidió autorización para descargar el archivo. Ese aviso informa de una descarga, no de si el contenido es fiable.
Codex y Claude Code siguieron rutas distintas
En una reconstrucción de Codex en una máquina virtual aislada, Forever Security informó de que la carga de prueba se ejecutó en más del 90 % de los intentos. La mayoría de las pruebas utilizó un sustituto inocuo; la empresa también ejecutó el paquete malicioso real una vez en esa máquina virtual. La ruta ensayada modificaba la configuración global de Codex, ~/.codex/config.toml, por lo que el cambio podía afectar a sesiones posteriores, incluso fuera de Downloads.
En las pruebas de Claude Code, Forever Security describió otra vía: un CLAUDE.md preparado para el ataque modificaba la configuración del proyecto y redirigía el tráfico de la API. La empresa dijo que la ruta de redirección y exposición de tokens OAuth funcionó en torno a la mitad de las pruebas. La ejecución de código durante la misma sesión, mediante un subagente, ocurrió en aproximadamente una quinta parte. Son resultados de etapas distintas, no dos medidas del mismo desenlace.
Qué revisar en la configuración
Para reducir la posibilidad de que un agente cargue instrucciones ajenas al proyecto, ejecútalo desde la carpeta del proyecto prevista, en vez de hacerlo desde Downloads o desde una carpeta superior demasiado amplia. Revisa los archivos AGENTS.md, CLAUDE.md y otros ficheros de instrucciones que no reconozcas. Forever Security también recomendó mantener activados los controles de aprobación y aislamiento del agente.
Si usas Codex, la empresa sugirió revisar ~/.codex/config.toml en busca de entradas inesperadas [mcp_servers.*] o cambios en chatgpt_base_url. Para Claude Code, indicó que se comprueben los ajustes ANTHROPIC_BASE_URL o de proxy en el archivo .claude/settings.json del proyecto. Si encuentras una redirección sospechosa, trata el token como potencialmente expuesto y rótalo.
