Investigadores de la empresa Forever Security han revelado una nueva técnica de ataque que permite a los atacantes dirigir a los agentes de programación basados en inteligencia artificial para ejecutar comandos maliciosos e instalar paquetes de software dañinos. Esta técnica se basa en explotar la forma en que los agentes de IA leen archivos de instrucciones de texto en formato Markdown, como "AGENTS.md" o "CLAUDE.md", depositados silenciosamente dentro de la carpeta principal de descargas (Downloads) en el dispositivo del usuario.
Mecanismo de ataque mediante descargas silenciosas
Los archivos de instrucciones de texto como "AGENTS.md" son un medio estándar para proporcionar a los agentes de IA directrices específicas para proyectos de programación, tales como reglas de formato, herramientas utilizadas y cómo ejecutar pruebas. Sin embargo, la mayoría de los navegadores web populares, incluidos Chrome, Edge y Firefox, permiten que los sitios web descarguen archivos en la carpeta de descargas predeterminada sin solicitar el consentimiento explícito del usuario para cada archivo.
Cuando un desarrollador ejecuta un agente de IA dentro de la carpeta de descargas —un comportamiento común para organizar carpetas o trabajar con archivos probados recientemente— el agente lee automáticamente el archivo malicioso y ejecuta las instrucciones dañinas que contiene, utilizando los permisos y herramientas disponibles en el entorno del sistema local.
Pruebas prácticas y explotación de herramientas populares
Las pruebas realizadas por los investigadores demostraron la posibilidad de ejecutar el ataque con éxito en herramientas de programación destacadas como OpenAI Codex y Claude Code. En un caso real con un cliente, el agente de programación intentó instalar un paquete malicioso del repositorio npm llamado "function-color" basándose en las instrucciones de un archivo malicioso alojado en la carpeta.
En otro experimento, los investigadores lograron redirigir el tráfico de datos del modelo Claude Code a un servidor externo bajo su control, lo que resultó en la exposición del token de autorización (OAuth token), el secuestro de la cuenta del agente y la redirección de comandos para ejecutar software en el dispositivo con una tasa de éxito de aproximadamente el 50%, mientras que la tasa de éxito de la explotación del modelo en OpenAI Codex alcanzó cerca del 90%.
¿Por qué es importante esta noticia para los desarrolladores?
La importancia de este desarrollo radica en que el comportamiento explotado no se considera una vulnerabilidad de software dentro de las plataformas de IA que requiera una actualización o parche por parte de empresas como OpenAI o Anthropic; el agente ejecuta aquello para lo que fue diseñado: leer las instrucciones presentes en su carpeta de trabajo. Por lo tanto, la responsabilidad de la prevención y la mitigación de riesgos recae completamente en el usuario y el desarrollador al controlar el alcance de los permisos del agente y su entorno de ejecución.
Recomendaciones y métodos de prevención
Para proteger los entornos de desarrollo contra la explotación, se recomienda seguir las siguientes directrices:
- Evitar configurar la carpeta principal de descargas (Downloads) como entorno de trabajo o ruta de ejecución para los agentes de IA.
- Ejecutar el agente de programación exclusivamente en la carpeta raíz (Root) del proyecto de software específico para restringir su acceso a archivos externos.
- Revisar y examinar archivos de instrucciones como "AGENTS.md" y "CLAUDE.md" provenientes de fuentes no confiables antes de permitir que el agente los procese.
- Activar entornos de aislamiento (Sandboxing) y opciones de confirmación manual antes de ejecutar comandos o instalar paquetes de software.