El caballo de Troya cabe en un .md: así secuestran agentes de IA desde tu carpeta de Descargas

Un equipo de investigadores de Forever Security ha descubierto que un simple archivo Markdown depositado en la carpeta de Descargas puede secuestrar agentes de programación como Codex y Claude Code, instalando malware o robando credenciales sin que el desarrollador se entere. La noticia, publicada por BleepingComputer y The Hacker News, deja una conclusión incómoda: no hay nada que parchear.

El caballo de Troya que pesa 13 kilobytes

Los griegos necesitaron carpinteros, un caballo de madera y la ingenuidad de los troyanos. En 2026, basta con un archivo de texto de 13 KB llamado AGENTS.md. El equipo de Forever Security lo encontró en la carpeta ~/Downloads de un cliente real, justo después de frenar a un agente de IA que intentaba instalar function-color, un paquete npm vinculado a la campaña de malware MALFEX.

Nadie sabía cómo había llegado ahí. Y esa es precisamente la gracia —o el horror— del asunto: la carpeta de Descargas es el único lugar de tu disco duro donde una página web puede escribir archivos sin pedir permiso. Visitas una web, el navegador descarga un archivo silenciosamente, y al abrir tu agente de IA en esa carpeta, el agente lee las instrucciones y las obedece. Sin preguntas. Sin alertas.

Instrucciones disfrazadas de buenas prácticas

Lo brillante —y lo aterrador— del ataque es su camuflaje. El archivo malicioso se titulaba “Engineering Work Guidelines”. Un documento aparentemente inofensivo con convenciones de código, instrucciones para tests y normas de estilo. El veneno estaba al final, escondido en una sección de “configuración de entorno” que pedía al agente registrar un servidor MCP en la configuración global de Codex.

A partir de ahí, el agente lanzaba una segunda sesión de Codex con las protecciones de aprobación y sandbox desactivadas. La sesión configurada instalaba el paquete malicioso. Y como el cambio afectaba a la configuración global del usuario, cualquier sesión posterior de Codex en cualquier proyecto podía lanzar el servidor del atacante. Un solo archivo, en una sola carpeta, comprometiendo todos tus proyectos futuros.

“Un agente que sigue el AGENTS.md de su carpeta está haciendo exactamente aquello para lo que fue construido.” — Investigadores de Forever Security

Codex cae en el 90% de los casos. Claude, en la mitad

Los investigadores Gal Weizman y Omer Samet reprodujeron el ataque en laboratorio. Los números son para sentarse.

OpenAI Codex ejecutó las instrucciones maliciosas en más del 90% de las pruebas. Nueve de cada diez veces, el agente hizo exactamente lo que le pedía un archivo que nunca debería haber estado ahí.

Con Claude Code, el vector fue diferente pero igualmente ingenioso. En lugar de AGENTS.md, los investigadores plantaron un archivo CLAUDE.md que instruía al agente a escribir un archivo de configuración redirigiendo todo el tráfico API a un servidor controlado por los atacantes. El resultado: el token OAuth de Claude se enviaba a ese servidor en cada petición. Los investigadores confirmaron que podían reutilizar ese token contra la API real y hacerse pasar por la víctima. Apropiación de cuenta completa, sin ejecutar una sola línea de código.

La tasa de éxito contra Claude Code rondó el 50%. La mitad de las veces sigue siendo una barbaridad para un ataque que consiste en dejar un archivo de texto en una carpeta.

La carpeta de Descargas: tierra de nadie con privilegios VIP

Hay algo profundamente irónico en esta historia. Llevamos décadas construyendo sandboxes, permisos granulares, firewalls de aplicación y sistemas de confianza cero. Y resulta que el eslabón más débil es una carpeta que existe desde los albores de los sistemas operativos: ~/Downloads.

Es la carpeta donde aterrizan los PDFs que nunca leerás, las facturas que olvidarás archivar y los ZIP sospechosos de aquel email que no deberías haber abierto. Ahora es también el lugar donde una página web puede depositar instrucciones que tu agente de IA seguirá al pie de la letra.

Forever Security reveló un dato demoledor: solo Claude Code ha lanzado más de 1.300 sesiones desde la carpeta de Descargas. Es una práctica habitual. Los desarrolladores abren su agente ahí para organizar archivos recién descargados o para trabajar con algo que acaban de bajar. Nadie se para a inspeccionar si hay un AGENTS.md escondido entre las facturas y los memes.

No hay parche. Ese es el problema

Si esto fuera un bug, tendría solución. Se abre un issue, alguien escribe un fix, se lanza un patch el martes y todos a casa. Pero no lo es. Los investigadores de Forever Security lo dicen sin rodeos: “No hay nada que OpenAI ni Anthropic puedan parchear.”

Y tienen razón. El agente hace lo que se supone que debe hacer: leer las instrucciones de su directorio de trabajo y obedecerlas. Es como culpar a un mayordomo por abrir la puerta a alguien que lleva el uniforme de la empresa. El problema no es el mayordomo; es que cualquiera puede conseguir el uniforme.

Esto plantea una cuestión de diseño más profunda que ningún hotfix va a resolver. ¿Deben los agentes de IA confiar ciegamente en cualquier archivo de instrucciones que encuentren en su directorio de trabajo? La respuesta obvia es no. Pero la alternativa —pedir confirmación para cada instrucción, verificar firmas digitales, establecer listas blancas de directorios— socava la utilidad misma de los agentes. Si cada acción requiere aprobación humana, ¿para qué queríamos un agente autónomo?

La autonomía tiene un precio

Vivimos un momento extraño en la historia de la tecnología. Estamos entregando capacidades de ejecución a sistemas que no distinguen entre instrucciones legítimas e instrucciones maliciosas envueltas en buen formato. No por ignorancia, sino por diseño. La utilidad de un agente de IA reside precisamente en su capacidad de actuar sin supervisión constante.

Es la misma tensión que define a toda herramienta poderosa. Un bisturí en manos de un cirujano salva vidas; en manos de cualquiera, es un arma. La diferencia es que el bisturí no se deja usar por cualquiera que le deje una nota en la mesa.

Los agentes de IA, de momento, sí.

Las recomendaciones inmediatas son prosaicas: no ejecutar agentes en la carpeta de Descargas, inspeccionar archivos .md desconocidos antes de arrancar una sesión, desconfiar de cualquier directorio donde la web pueda escribir. Pero la conversación real es otra. En el momento en que decidimos que la IA debe actuar por nosotros, aceptamos que también puede actuar contra nosotros si alguien sabe susurrarle las palabras correctas.

Troya cayó porque los griegos entendieron que la mejor fortaleza se conquista desde dentro. Ahora el caballo es un archivo .md de 13 kilobytes. Y la puerta está en tu carpeta de Descargas.