Prompt injection en agentes de IA: el riesgo de AGENTS.md

¿Un archivo de texto puede terminar dándole órdenes peligrosas a una inteligencia artificial? Cuando un agente de programación confunde instrucciones externas con una solicitud legítima, la respuesta puede ser sí. Una investigación sobre AGENTS.md muestra cómo ocurre y qué puedes hacer para reducir el riesgo.

¿Qué pasó con AGENTS.md?

El 22 de octubre de 2026, Forever Security publicó una investigación tras detectar en el equipo de un cliente un archivo AGENTS.md malicioso dentro de Descargas. El archivo intentaba que un agente de programación instalara un paquete npm peligroso; el equipo de seguridad bloqueó la operación antes de ejecutar ese código.

Los investigadores reprodujeron una cadena relacionada con Codex en un entorno aislado y también probaron otro ataque con Claude Code mediante un archivo CLAUDE.md. No se estableció cómo llegó el AGENTS.md original a la computadora. Por tanto, no sería correcto afirmar que una web específica lo descargó allí.

¿Qué es AGENTS.md y cómo funciona el prompt injection?

AGENTS.md es un archivo de instrucciones que algunos asistentes de programación, como Codex, consultan para conocer reglas y tareas de un proyecto. Puede ser completamente legítimo: por ejemplo, indicar cómo ejecutar pruebas o seguir convenciones de código.

El problema surge cuando un archivo de origen no confiable se interpreta como si tuviera autoridad para ordenar acciones. Eso es prompt injection: un intento de cambiar el comportamiento de un sistema de IA mediante contenido que encuentra mientras trabaja. El archivo Markdown no ejecuta malware por sí solo; el peligro aparece si el agente obedece instrucciones maliciosas y dispone de permisos suficientes.

Cinco medidas para proteger tus agentes de IA

1. Trabaja desde carpetas de proyecto confiables. No inicies agentes en Descargas o directorios llenos de archivos cuyo origen desconoces.

2. Revisa archivos de instrucciones. Antes de abrir un repositorio o proyecto nuevo con un agente, inspecciona AGENTS.md, CLAUDE.md y otros archivos de configuración que pueda leer.

3. Mantén activas las aprobaciones. Los permisos para ejecutar comandos, instalar dependencias o acceder a la red deben estar limitados a lo que exige la tarea.

4. Comprueba cambios inesperados. Si el agente quiere agregar herramientas MCP, instalar paquetes o modificar su configuración sin que se lo hayas pedido, detén la operación y revisa el origen de esa orden.

5. Protege las credenciales. Usa el mínimo acceso necesario y, si sospechas que un token quedó expuesto, revócalo, reemplázalo y revisa los registros disponibles.

¿Todos los archivos AGENTS.md son peligrosos?

No. Son útiles para orientar a los agentes de programación. El riesgo depende de quién creó el archivo, qué acciones solicita y qué permisos tiene el asistente. Por eso conviene tratar las instrucciones de proyectos externos como contenido que requiere revisión.

¿Qué hago si mi agente ya siguió una instrucción sospechosa?

Detén la sesión, conserva la evidencia y revisa configuraciones, dependencias instaladas y actividad reciente. Si hay credenciales comprometidas, revócalas. En equipos de trabajo, comunica el incidente al área de seguridad antes de eliminar registros.

Hacking ético también significa proteger a quienes usan IA

El caso no demuestra que usar agentes de IA sea inseguro por definición. Demuestra que los archivos, los permisos y las herramientas conectadas forman parte de la superficie de ataque. Comprender esa relación es una habilidad práctica para cualquier persona que programe, automatice tareas o estudie ciberseguridad.

Continúa aprendiendo sobre seguridad de aplicaciones y hacking ético con los contenidos de Backtrack Academy.