Investigadores de Forever Security advierten sobre una técnica que puede convertir un archivo Markdown aparentemente inocuo en una vía para manipular agentes de inteligencia artificial. El método aprovecha archivos AGENTS.md, que algunos asistentes de programación consultan para recibir instrucciones sobre cómo trabajar en un proyecto.
Según el informe, los atacantes pueden intentar colocar uno de estos archivos en la carpeta de descargas de un usuario. Si después se inicia un agente con acceso a esa ubicación, el contenido del documento podría inducirlo a ejecutar comandos, descargar software malicioso o exponer tokens de sesión.
## Cómo funciona el ataque
La técnica combina varios factores: ciertos sitios web pueden iniciar descargas, los archivos Markdown no suelen despertar sospechas y los agentes de programación pueden interpretar AGENTS.md como una fuente de instrucciones. Forever Security afirma haber encontrado un archivo de este tipo en la carpeta `~/Downloads` de un equipo de un cliente. El documento estaba presentado como notas de ingeniería, pero incluía instrucciones para instalar malware y extraer tokens.
Los investigadores no determinaron cómo llegó el archivo al equipo. Consideran posible que se descargara desde un sitio web comprometido, aunque no confirmaron ese origen. En pruebas posteriores, reprodujeron el comportamiento con OpenAI Codex y Claude Code.
El ataque, según el análisis, no depende necesariamente de una vulnerabilidad de software. Más bien, explota la forma en que los agentes siguen las instrucciones que encuentran y el acceso que pueden tener a archivos locales. Por eso, actualizar el agente no basta para eliminar este riesgo: también es importante revisar qué documentos puede leer y qué acciones tiene permitido realizar.
## Riesgos para usuarios y organizaciones
En el caso investigado, el archivo intentaba que el agente instalara un paquete npm malicioso llamado `function-color`. Los investigadores lo relacionaron con una campaña previa de malware. En otros escenarios, una manipulación similar podría buscar instalar programas de robo de información, ransomware o herramientas de acceso remoto, además de obtener credenciales o tokens.
El incidente es una variante de la inyección de instrucciones, conocida como *prompt injection*. La diferencia es que las instrucciones no necesariamente aparecen en una conversación o página que el usuario revisa: pueden estar dentro de un archivo local que el agente considera relevante.
## Medidas para reducir el riesgo
Forever Security recomienda tratar la carpeta de descargas como un espacio no confiable para los agentes. Evite iniciar herramientas como Codex o Claude Code desde esa ubicación y revise cualquier archivo AGENTS.md que no haya creado personalmente, tanto en Descargas como en repositorios clonados. Lea su contenido antes de permitir que un agente trabaje con esos archivos.
También conviene mantener activadas las solicitudes de aprobación, los entornos aislados y otras restricciones de ejecución. Desconfíe especialmente de instrucciones que pidan omitir controles de seguridad o ejecutar comandos sin revisión.
Por último, revise la configuración del agente en busca de cambios inesperados. En proyectos que utilizan Claude Code, por ejemplo, verifique `.claude/settings.json` y compruebe que no se hayan añadido direcciones de proxy o endpoints de API desconocidos. Si existe la posibilidad de que un token haya quedado expuesto, rótelo de inmediato y revise la actividad asociada.
Los agentes de IA pueden agilizar tareas de desarrollo, pero sus instrucciones y permisos también forman parte de la superficie de ataque. Tratar los archivos descargados como contenido potencialmente hostil y conservar la supervisión humana son pasos esenciales para utilizarlos con mayor seguridad.
from Latest from TechRadar https://ift.tt/rF7JQMp
via IFTTT IA
