La seguridad de AGENTS.md depende de dónde se inicie un agente de programación y de qué archivos pueda leer, modificar y ejecutar. Un archivo de instrucciones malicioso en un directorio amplio, como Descargas, puede indicar al agente que instale paquetes, modifique la configuración o exponga credenciales. La defensa práctica consiste en iniciar los agentes en la raíz de un proyecto revisada, restringir los permisos y tratar los archivos de instrucciones como políticas ejecutables. AI ¿Cuál es el riesgo de seguridad de AGENTS.md?
El riesgo de seguridad de AGENTS.md es una vulnerabilidad indirecta de inyección de instrucciones en la que un agente de programación basado en IA descubre instrucciones persistentes hostiles y actúa sobre ellas con las herramientas disponibles. El archivo puede influir en comandos de shell, instalación de paquetes, cambios de configuración, solicitudes de red y conexiones al Model Context Protocol sin explotar una vulnerabilidad de software convencional.
AGENTS.md
Un El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente. Este comportamiento resulta útil en un repositorio controlado. Los equipos pueden registrar una vez los comandos de compilación, los requisitos de pruebas, las convenciones de programación y los controles de aprobación, en lugar de repetirlos en cada indicación. El problema comienza cuando el mismo mecanismo de descubrimiento se adentra en una carpeta no fiable.
El 22 de octubre de 2026, Forever Security reveló un ataque que comenzaba con
en el directorio Descargas de un usuario. BleepingComputer informó de forma independiente el 25 de octubre de 2026 de que una página web podía iniciar una El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente. descarga en la ubicación de descarga normal del navegador. Chrome, Microsoft Edge y Firefox mostraron notificaciones de descarga durante esa prueba, mientras que Brave requería aprobación. El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente. ¿Cómo puede un archivo AGENTS.md malicioso secuestrar un agente de programación?
Un archivo AGENTS.md malicioso puede secuestrar una sesión de programación cuando el agente se inicia en el directorio del archivo, incorpora sus instrucciones y recibe permiso para realizar las acciones solicitadas. Las demostraciones de 2026 utilizaron capacidades habituales de los agentes, como ejecutar comandos, instalar paquetes npm, editar la configuración global y crear entradas de servidores del Model Context Protocol.
La cadena de ataque es breve. Un navegador coloca el archivo en Descargas, se inicia un agente desde esa carpeta y el descubrimiento de instrucciones proporciona el texto hostil como contexto. A continuación, el agente puede presentar acciones peligrosas como tareas de configuración necesarias o intentar realizar cambios permitidos por su modo de ejecución.
Forever Security informó de que había encontrado un archivo de instrucciones malicioso en el equipo de un cliente después de que un agente intentara instalar el paquete npm
function-color . La empresa no pudo determinar cómo había llegado originalmente el archivo, por lo que ese incidente no debe presentarse como una prueba de distribución mediante el navegador. La prueba posterior de BleepingComputer estableció únicamente que era posible colocar el archivo en la ubicación de descarga mediante una página web.Según Forever Security, las instrucciones de Codex recuperadas ocupaban aproximadamente 13 KB en 2026. Supuestamente, las instrucciones intentaban modificar el archivo de configuración de todo el equipo
~/.codex/config.toml , registrar un servidor del Model Context Protocol e iniciar un proceso secundario de Codex con omisiones de aprobación y del entorno aislado.Forever Security afirmó que la reproducción de Codex ejecutó la carga útil del paquete en más de 90% de los intentos realizados en 2026. En términos concretos, una tasa comparable supondría más de 90 ejecuciones satisfactorias por cada 100 pruebas. A fecha del 27 de octubre de 2026, la reproducción independiente de ese porcentaje seguía siendo escasa y no se había localizado ninguna respuesta pública específica
o Anthropic a la divulgación hasta esa fecha. IA abierta ¿En qué se diferencia esto de una explotación de un repositorio malicioso?
El problema de seguridad de AGENTS.md se diferencia de una explotación de un repositorio malicioso porque las instrucciones hostiles pueden descubrirse antes de abrir o clonar un proyecto comprometido. La técnica de Descargas de octubre de 2026 comienza con texto plano en un directorio de trabajo amplio y se basa en el descubrimiento previsto de instrucciones y en las capacidades normales del agente, en lugar de hacerlo en la ejecución previa del código de una dependencia.
Una demostración de abril de 2026 sobre una dependencia maliciosa suponía que una dependencia del repositorio ya estaba comprometida y podía ejecutar código. En cambio, el escenario de Descargas convierte al agente en el intérprete inicial de las instrucciones proporcionadas por el atacante. No es necesario que se ejecute ningún paquete antes de que el agente decida instalar uno.
La distinción es importante para el modelado de amenazas. La revisión del código fuente y el análisis de dependencias pueden pasar por alto un archivo situado fuera del repositorio, mientras que un agente iniciado un directorio demasiado arriba puede heredar instrucciones que los desarrolladores nunca esperaron que gobernaran el proyecto. Problemas similares de confianza entre agentes aparecen en el ataque
AgentCorruption contra entornos de agentes de AWS El envenenamiento de archivos de reglas también se extiende más allá de un único nombre de archivo. El estudio PackHallu, publicado el 14 de octubre de 2026, describió indicaciones maliciosas en archivos como.
.cursorrules El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente. y que inducían a los agentes a sustituir paquetes controlados por el atacante. Por ello, las directrices DevSecOps de OWASP de 2026 recomiendan tratar CLAUDE.md El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente., y otros archivos de reglas comparables como configuración sensible desde el punto de vista de la seguridad. ¿Qué probabilidad tiene el ataque a la carpeta Descargas?
El 27 de octubre de 2026 se desconocía la frecuencia real de los ataques maliciosos mediante AGENTS.md, pero la exposición al comportamiento necesario previo sí podía medirse. Forever Security informó de que aproximadamente la mitad de sus clientes había ejecutado un agente de programación dentro de Descargas, mientras que un investigador declaró a BleepingComputer que Claude Code por sí solo aparecía en más de 1.300 sesiones de Descargas observadas.
Las cifras disponibles miden el comportamiento arriesgado y el éxito en laboratorio, no una tasa de compromiso de toda la población. Forever Security también afirmó que aproximadamente una cuarta parte de las sesiones de agentes observadas en 2026 había abierto un navegador real, lo que creaba otra vía por la que un agente podía encontrarse con descargas y contenido web.
Resultados de pruebas e indicadores de exposición de 2026 comunicados para archivos de instrucciones hostiles
| Observación | Qué demuestra la cifra | Reproducción de la carga útil del paquete en Codex |
|---|---|---|
| Más de 90% de los intentos | Éxito elevado en la prueba de Forever Security, no una tasa universal establecida de forma independiente | Redirección de la API de Claude Code |
| Aproximadamente 50% de los intentos | Cambio de configuración y exposición del token de OAuth en la configuración de la empresa | Ejecución en la misma sesión de Claude Code |
| Aproximadamente 20% de los intentos | Ejecución de código durante la sesión original en aproximadamente una de cada cinco pruebas | Clientes que ejecutan agentes en Descargas |
| Aproximadamente 50% | Los inicios desde carpetas amplias eran habituales en las observaciones de clientes de Forever Security | Sesiones de Claude Code observadas en Descargas |
| Sesiones de descargas observadas de Claude Code | Más de 1.300 | El patrón de lanzamiento arriesgado se repitió varias veces, según la fuente de BleepingComputer |
Esos resultados merecen atención, pero también prudencia. Las tasas de éxito de Codex y Claude Code proceden de las pruebas realizadas en octubre de 2026 por una empresa de seguridad, con pocos detalles públicos sobre el tamaño de las muestras y la variación del entorno. Sinceramente, unos porcentajes tan llamativos no deberían convertirse en previsiones de riesgo hasta que otros investigadores los reproduzcan.
El comportamiento del navegador añade fricción, pero no constituye una defensa completa. Las notificaciones pueden pasar desapercibidas y un archivo de texto aparentemente inofensivo no muestra la advertencia visual que los usuarios asocian a un ejecutable. Supuestos de confianza comparables también han permitido publicidad falsa de Claude y ataques de redirección y el incidente de la extensión del navegador Poper Blocker.
¿Cómo proteges los agentes de programación frente a archivos de instrucciones maliciosos?
Una seguridad eficaz de AGENTS.md utiliza conjuntamente cinco controles: limitar el alcance a la raíz del proyecto, revisar los archivos de instrucciones, aislarlos en un entorno aislado, mostrar solicitudes de aprobación claras y restringir el acceso a la red. La opción segura predeterminada en 2026 es un directorio de proyecto revisado con solo los archivos necesarios para la tarea montados, sin exponer el directorio de inicio, sin credenciales de larga duración y sin omitir automáticamente los permisos.
Un modelo de límites útil comienza con una pregunta: ¿cuál es el directorio más pequeño que requiere realmente la tarea? Los informes de BleepingComputer de 2026 identifican la raíz específica del proyecto como el límite seguro, en lugar del directorio de inicio, Downloads o un directorio principal amplio que contenga varios repositorios.
Utiliza los siguientes controles antes de permitir que un agente ejecute comandos:
- Inicia el agente desde la raíz del proyecto revisado y expón directorios adicionales únicamente para una tarea definida.
- Revisa los archivos inesperados
El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente.,y otros archivos de reglas comparables como configuración sensible desde el punto de vista de la seguridad.,que inducían a los agentes a sustituir paquetes controlados por el atacante. Por ello, las directrices DevSecOps de OWASP de 2026 recomiendan tratary los archivos relacionados con el mismo cuidado que los scripts o la configuración de compilación. - Somete los archivos de instrucciones del repositorio a la propiedad del equipo de código, a la revisión de solicitudes de incorporación de cambios y a la supervisión de cambios no autorizados.
- Mantén activadas las restricciones del entorno aislado y las solicitudes de aprobación; la documentación de 2026 de Anthropic califica
--dangerously-skip-permissionsde peligroso. - Inspecciona las solicitudes relacionadas con la instalación de paquetes, la configuración global, nuevos servidores de Model Context Protocol, cambios en los puntos de conexión de la API o salvaguardas desactivadas.
La guía de 2026 de OpenAI sobre entornos aislados recomienda aislar archivos, credenciales y acceso a la red, montar únicamente las entradas necesarias para la tarea y evitar los montajes del directorio de inicio. Las credenciales de larga duración deben permanecer fuera del entorno de ejecución, mientras que el tráfico saliente debe limitarse a los destinos que la tarea necesite realmente.
Las solicitudes de aprobación no solucionan por sí solas la seguridad de AGENTS.md. Un usuario que aprueba un comando de instalación opaco ha confirmado la acción que quería el atacante sin entenderla. Los nombres de los paquetes merecen un escrutinio especial porque la sustitución asistida por agentes se ha convertido en una vía recurrente de entrada en la infraestructura de IA, como demostró la campaña de malware PoeLLM que afectó a servidores de IA lo ilustra.
Los entornos desechables ofrecen una excepción razonable para los modos permisivos. Si el contenedor no contiene credenciales valiosas, no tiene montado el directorio de inicio, no permite tráfico saliente sin restricciones y no ofrece ninguna vía de vuelta a producción, el alcance de la intrusión es mucho menor. En un portátil de desarrollador, resulta difícil justificar la omisión de permisos.
Preguntas frecuentes sobre la seguridad de AGENTS.md
¿Es AGENTS.md malware?
Un El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente. archivo no es inherentemente Programa malicioso; es un archivo de instrucciones basado en texto para agentes de programación. El riesgo de seguridad surge cuando un contenido hostil ordena a un agente con permisos suficientes que realice acciones peligrosas.
¿Puede detener el ataque eliminar AGENTS.md?
Eliminar un archivo El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente. no confiable puede retirar esa fuente de instrucciones, pero también deberías inspeccionar la configuración global, los paquetes instalados, las entradas de Model Context Protocol, los procesos secundarios y las credenciales para detectar cambios ya realizados.
¿Un aviso de aprobación hace que los agentes de programación con IA sean seguros?
Un aviso de aprobación solo reduce el riesgo cuando entiendes el comando exacto y sus consecuencias. Las solicitudes para instalar paquetes, editar la configuración global, añadir servidores, redirigir API o desactivar medidas de protección requieren una inspección directa.
¿Debe incluirse AGENTS.md en Git?
Un repositorio legítimo El archivo es un archivo de instrucciones de texto plano que proporciona orientación persistente a un agente de programación basado en IA para trabajar dentro del ámbito de un directorio. La guía de indicaciones de Codex de OpenAI de 2026 indica que Codex enumera los archivos de instrucciones aplicables de la configuración global y de la ruta del directorio, inserta su contenido en la conversación y está entrenado para seguirlos detenidamente. debería estar generalmente bajo control de versiones para que las normas de propiedad, la revisión de solicitudes de incorporación de cambios y el historial de cambios puedan protegerlo. La guía del flujo de trabajo de Codex de OpenAI, de 3 de agosto de 2026, describe el archivo como una guía persistente y opcional del repositorio, y recomienda definir explícitamente los ámbitos, los límites y los puntos de control de aprobación.