Dos reportes de esta semana muestran que atacar a un agente de código ya no requiere vulnerarlo: basta con dejarle texto que él mismo decida obedecer.
El escaneo de Radware: 86 millones de elementos de GitHub
Según CYBR.SEC.Media, los investigadores de Radware Gabi Nakibly y Zvika Babo presentaron en la conferencia [un]prompted II (San Francisco) un escaneo de 86 millones de elementos de GitHub: issues, pull requests, comentarios y archivos README. Extrajeron texto oculto, como comentarios HTML, y lo clasificaron con heurísticas, un clasificador de LLM en dos etapas y revisión manual.
Las instrucciones ocultas cayeron en cuatro categorías: orquestación de agentes (automatización legítima del proyecto), restricciones para bots visitantes, «growth hacking» (promover proyectos o moldear cómo los agentes los describen) y actividad maliciosa, incluyendo intentos de exfiltrar datos. Los propios autores advierten que el escaneo solo cubrió texto oculto y que no establece cuántos ataques tuvieron éxito.
El caso en vivo: AGENTS.md en la carpeta Descargas
Según OODAloop, la firma Forever Security interceptó malware real que deja archivos de instrucciones en Markdown, como AGENTS.md, en el directorio de Descargas del usuario, disfrazados de notas de ingeniería. Cuando un desarrollador lanza un agente de código en ese directorio, el agente lee el archivo como contexto del proyecto y puede reescribir configuraciones sin autorización. Se mencionan Codex de OpenAI y Claude Code. Nota: no pudimos abrir el informe original citado (Dark Reading), así que el detalle viene de ese resumen.
Por qué un parche no lo resuelve
Los investigadores señalan que los agentes funcionan «como fueron diseñados»: leer archivos de instrucciones locales es una función, no un fallo. Por eso los laboratorios no pueden cerrar el vector con un parche. La conclusión de Radware lo resume: «Los atacantes no necesitan comprometer a un agente de código de IA para manipularlo». El problema es de arquitectura de confianza, igual que el de la inyección SQL, pero sin una consulta parametrizada equivalente todavía.
Qué significa para una empresa que usa agentes de código
Fuentes: CYBR.SEC.Media (27 de octubre de 2026), OODAloop (27 de octubre de 2026, citando a Forever Security).