El 26 de octubre, investigadores de Forever Security —una firma que monitorea riesgos de agentes de IA— publicaron un hallazgo que debería cambiar cómo cualquier agencia o equipo de desarrollo corre sus agentes de código hoy mismo: un archivo de texto plano llamado AGENTS.md, escondido en la carpeta de Descargas de la computadora de un cliente real, hizo que OpenAI Codex instalara malware en más del 90% de las pruebas controladas. Con Claude Code, una variante del mismo truco (un archivo CLAUDE.md) logró que el agente expusiera su token de sesión en aproximadamente la mitad de los intentos. Lo más incómodo del reporte no es la cifra — es que no hay nada roto que arreglar. Es exactamente el comportamiento para el que estos agentes fueron diseñados: leer y seguir cualquier archivo de instrucciones que encuentren en su carpeta de trabajo.
Qué encontraron exactamente
Forever Security detectó el caso cuando un agente de código, corriendo en la máquina de un cliente, intentó instalar un paquete de npm llamado function-color. Al rastrear el origen, encontraron un archivo AGENTS.md dentro de ~/Downloads, que también era el directorio de trabajo desde el que el usuario había abierto el agente.
Ese paquete jala a su vez a otro, function-flag, que descarga y ejecuta un payload malicioso en Windows — CloudSEK y Checkmarx, que analizaron la campaña por separado, la bautizaron . Pero lo interesante no es el malware en sí, sino el vector:
