Ataque en la naturaleza explota la confianza de los agentes de IA en Markdown

### Introducción contextual

En el actual panorama de la ciberseguridad, la evolución de las técnicas de ataque es constante y cada vez más sofisticada. Recientemente, un nuevo tipo de ataque conocido como "inyección de comandos indirecta" ha sido identificado, aprovechando las vulnerabilidades en los archivos Markdown que se encuentran en la carpeta de descargas de los usuarios. Este método no solo pone en riesgo la seguridad de los dispositivos individuales, sino que también podría tener implicaciones más amplias para la industria de la inteligencia artificial y la seguridad digital en general. Afecta especialmente a usuarios que utilizan agentes de código, como los desarrollados por OpenAI y Anthropic, que ejecutan instrucciones basadas en archivos que son considerados de confianza. Este artículo profundiza en los detalles técnicos de este ataque, su impacto y las medidas de mitigación recomendadas.

### Detalles técnicos

El ataque, enunciado por Forever Security, se basa en la colocación de un archivo malicioso de texto plano con el nombre "AGENTS.md" en la carpeta de descargas de un usuario, disfrazado como notas de ingeniería. Los archivos con la extensión ".md" son archivos de Markdown que suelen ser utilizados para guiar el comportamiento de los agentes de codificación. Estos agentes, como OpenAI Codex o Claude Code, confían en estas instrucciones y pueden ejecutar acciones basadas en su contenido. En este caso, se descubrió que el ataque estaba específicamente diseñado para Codex, aunque Forever Security también reprodujo la amenaza con Claude Code.

La forma en que el archivo malicioso llega al dispositivo del usuario no se ha determinado con exactitud, aunque es probable que un sitio web malicioso intente descargarlo directamente en la carpeta de descargas. Una vez que el agente de codificación se lanza en esa ubicación, lee el archivo de instrucciones como parte de su contexto de proyecto. Los comandos maliciosos contenidos en el archivo pueden persuadir al agente para que modifique su propia configuración y realice acciones posteriores. Si el agente procesa uno de estos archivos Markdown maliciosos, el archivo implantado puede hacer que el agente reescriba su propia configuración, permitiendo a un atacante instruirlo para instalar malware o compartir tokens de inicio de sesión.

### Datos factuales

Según Forever Security, la cadena de ataque contra Codex tuvo éxito en más del 90% de las pruebas realizadas. Para Claude Code, la tasa de éxito fue aproximadamente del 50%, aunque varios factores podrían haber influido en esta estadística. Por ejemplo, Claude Code utiliza un camino de instalación diferente al de Codex, que era el objetivo original del ataque. Este tipo de ataque solo requiere que el usuario otorgue acceso a su agente de codificación a la carpeta de descargas de su directorio personal y que el agente pueda interactuar con contenido web. De acuerdo con la telemetría de Forever, aproximadamente la mitad de sus clientes ejecutan un agente de codificación dentro de su carpeta de descargas, y un cuarto de las sesiones del agente abren un navegador real.

### Impacto y consecuencias

Este ataque plantea una serie de preocupaciones significativas para los usuarios y las empresas. La naturaleza del ataque, que no requiere técnicas sofisticadas para ser ejecutado, sugiere que cualquier usuario con un agente de codificación en su máquina es potencialmente vulnerable. Además, los ataques como este revelan una debilidad inherente en los modelos de seguridad de muchos sistemas de inteligencia artificial, donde los agentes operan bajo la premisa de confianza, pero pueden ser manipulados por archivos aparentemente inofensivos. Como advirtió Weizman, investigador principal de Forever Security, la industria debe considerar la posibilidad de que los agentes sean conscientes de los riesgos asociados con la ejecución de comandos provenientes de archivos que pueden ser droppeados por sitios web.

### Contexto histórico

Este ataque no es un caso aislado, sino que se inscribe dentro de una tendencia más amplia donde las técnicas de ingeniería social y las vulnerabilidades en la ejecución de código están siendo cada vez más utilizadas por los atacantes. En incidentes anteriores, como el ataque de SolarWinds o las campañas de phishing dirigidas, se ha visto cómo los atacantes explotan la confianza de los usuarios en archivos y aplicaciones legítimas para infiltrar malware en sistemas críticos.

### Recomendaciones

Para mitigar el riesgo asociado con este tipo de ataque, Forever Security aconseja tratar la carpeta de descargas del directorio personal del usuario (~/Downloads) como "territorio hostil para los agentes". Esto implica que, por defecto, es la única forma en que el contenido web puede alcanzar a un agente de codificación. Los usuarios deben examinar los archivos de instrucciones que no hayan escrito, verificar las configuraciones del agente en busca de cambios inesperados y mantener habilitadas las puertas de aprobación y los entornos de pruebas. En caso de que se detecte una bandera roja, las organizaciones deben asumir que los tokens de inicio de sesión han sido comprometidos y proceder a rotar las credenciales de inmediato.

La aparición de este nuevo método de ataque subraya la necesidad de una vigilancia constante y la implementación de medidas de seguridad robustas en el uso de tecnologías de inteligencia artificial, así como la educación de los usuarios sobre los riesgos asociados.

A new indirectprompt injectionattack relies on using markdown files in an end user's downloads folder to install malware and steal credentials. That's according to Forever Security, which recently detailed a novelAI agentattack they captured in the wild. According to a research blog post, when an attacker plants a malicious file in a user's download folder, the user's agent may treat the file as trusted instructions and execute actions based on it. What is notable about this attack compared toother prompt injection threatsfound in research reports is that this was not a case where the researchers developed the attack as a proof of concept. Rather, Forever's Gal Weizman and Omer Sametwrotethat the AI security firm "caught live malware on a real customer's machine, attempting a new kind of attack the industry had not documented — and stopped it cold, before any code ran." As the blog post authors explained, Forever Security found a malicious plaintext file named "AGENTS.md" in a customer's downloads folder, disguised as engineering notes. ".md" is a markdown file, used to guide agent behavior, and is trusted by many AI coding agents like OpenAI's Codex orClaude Code— Forever reproduced the attack with both (the original variant targeted Codex specifically). Researchers were unable to determine exactly how the file got on the user's computer, though they noted that it's the kind of file that a malicious website could attempt to download onto the user's computer. Then, when the coding agent is launched in that directory, it reads the instruction file as part of its project context. According to Forever, the malicious instructions can persuade the agent to modify its configuration and perform follow-on actions. If the agent does ingest one of these malicious markdowns, the planted file makes the agent rewrite its own configuration, opening itself up for an attacker to instruct it to install malware or share its own login tokens. In testing, Forever said the Codex attack chain succeeded more than 90% of the time. For Claude Code, the researchers reported roughly a 50% success rate, though certain variables may have influenced this success rate. For example, Claude Code uses a different installation path from Codex, which the original attack targeted. The attack requires someone only to grant their codingagentaccess to their home directory downloads folder, and that the agent can interact with web content. Forever says that according to its telemetry, about half of its customers run a coding agent inside their downloads folder, and a quarter of agent sessions open a realbrowser. "There is nothing here for OpenAI or Anthropic to patch. An agent that follows the AGENTS.md in its folder is doing exactly what it was built to do, the same way a browser that renders a phishing page is working as designed," the blog post read. "The problem is the circumstances: a folder the web can write to, trusted as if the user filled it. So the vector stays open. It is one early example of a bigger pattern: defenses built around a human break when an agent takes the human's place." Weizman, lead researcher at Forever Security, tells Dark Reading thatAIfirms like OpenAI and Anthropic "may consider making agents aware of the risk of following commands originated by files that can be dropped by websites (such as inside the Downloads folder)," but adds that the issue described by the research is "mostly beyond their security model." In the instance captured in the wild, Weizman says the exploit worked but was then blocked from follow-on activity by Forever's real-time security product, preventing anNPM packagefrom being installed. Forever only managed to discover the initial example of the attack in the wild, though Weizman says the company is actively searching for more attempts. For defenders, Forever recommends treating the user's home-directory download location (~/Downloads) as "hostile ground for agents," as by default it's the only way web content can reach a coding agent. Users can also check for instruction files they did not write, examine agent configurations for unexpected changes, and leave approval gates and sandboxes enabled. If a red flag has been found, the researchers said organizations should assume login tokens are compromised and to rotate credentials.

Ataque en la naturaleza explota la confianza de los agentes de IA en Markdown

In-the-Wild Attack Abuses AI Agents' Trust in Markdown