Forever Security afirma que bloqueó a un agente de programación cuando intentaba instalar un paquete npm malicioso después de que el agente siguiera un archivo AGENTS.md en la carpeta Downloads de un cliente. Su investigación del 22 de octubre de 2026 convierte la procedencia de los archivos de instrucciones en una cuestión práctica de seguridad para los equipos que importan proyectos a asistentes de programación. La empresa no determinó cómo llegó ese archivo al equipo del cliente, y sus demostraciones posteriores deben mantenerse separadas del intento bloqueado que sí fue observado.
Para los responsables de plataformas para desarrolladores y de seguridad de endpoints, la respuesta útil es revisar qué texto importado puede influir en la configuración de un agente. La recomendación de Maetra es tratar un archivo de instrucciones que solicita cambios persistentes en la configuración como parte de la revisión de incorporación de software.
Lo que respalda la investigación
En su informe principal, Forever describe un intento de un cliente relacionado con el paquete malicioso function-color. Después informa sobre pruebas controladas con Codex y Claude Code: las instrucciones podían inducir cambios de configuración que condujeran a ejecución de código o exposición de tokens. Su escenario con Codex requería una carpeta de confianza. La mayor parte de las pruebas utilizó un sustituto inocuo, y el paquete malicioso real se ejecutó una sola vez en una máquina virtual aislada.
La cobertura de Help Net Security del 26 de octubre informa sobre la misma investigación. Es cobertura adicional, no una reproducción independiente. La evidencia no demuestra que todos los agentes o configuraciones se comporten igual, ni que un sitio web haya entregado el archivo encontrado en la máquina del cliente. La afirmación de Forever de que los proveedores no tienen nada que corregir sigue siendo una opinión del investigador.
Incluya los archivos de instrucciones en la revisión de incorporación
Lo siguiente es un análisis de Maetra para equipos que gestionan asistentes de programación. Un proceso de incorporación de repositorios o archivos comprimidos debería identificar los archivos que un asistente podría interpretar como orientación del proyecto. Revísenlos antes de conceder a un espacio de trabajo recién importado la autoridad para cambiar el entorno del desarrollador. Un nombre de archivo conocido no establece quién redactó el contenido ni qué cambios pretendía autorizar el usuario.
Empiece por la tarea solicitada. Si un empleado pide a un asistente que inspeccione una aplicación de ejemplo, una solicitud dentro de esa aplicación para registrar un servidor de herramientas persistente merece un escrutinio separado. La persona revisora debería identificar el servidor, su origen y la razón por la que es necesario. Decir que la instalación es rutinaria no responde a esas preguntas.
Esto no tiene por qué convertirse en una prohibición de las instrucciones útiles de proyecto. Los equipos pueden mantener instrucciones conocidas junto a sus propios repositorios y registrar cómo se revisan los cambios. La transición arriesgada que conviene examinar es la de texto importado que adquiere autoridad sobre configuraciones o credenciales más allá del proyecto que se está inspeccionando.
Evite que la orientación del proyecto cambie en silencio configuraciones compartidas
Para una evaluación controlada, utilice un espacio de trabajo desechable sin credenciales de producción. Prepare un archivo de instrucciones inocuo que solicite un cambio de configuración fuera de ese espacio de trabajo. Acuerden el resultado esperado antes de ejecutar la prueba y luego inspeccionen tanto la respuesta del asistente como la configuración resultante. No utilicen un paquete malicioso para probar este límite.
La pregunta de aceptación es si la configuración real se mantuvo dentro del alcance autorizado. Una explicación tranquilizadora no es suficiente si de todos modos apareció un nuevo servidor o endpoint. Conserven la configuración anterior y posterior, así como el registro de acciones pertinente, para que la persona responsable de seguridad pueda evaluar lo ocurrido.
Prueben también una sesión interrumpida o reiniciada. Si se permite el registro de una herramienta legítima, determinen dónde persiste y qué sesiones posteriores la heredan. Registren quién es responsable de esa configuración y cómo puede eliminarse. Estas son comprobaciones recomendadas, no afirmaciones sobre una función de producto no reportada ni sobre una prueba realizada por Maetra.
Investigue el efecto de un archivo sospechoso
Encontrar instrucciones inesperadas debería dar lugar a una investigación acotada. Determinen si el asistente leyó el archivo, intentó ejecutar un comando, cambió configuraciones, instaló un paquete o envió credenciales a un destino desconocido. Esas observaciones describen distintos niveles de exposición y pueden requerir distintas acciones de recuperación.
Conserven la evidencia sin copiar secretos activos en un ticket o informe compartido. Hagan que la persona responsable de seguridad evalúe las sesiones afectadas, las credenciales y las integraciones persistentes. Una instalación bloqueada aún puede justificar la revisión de cambios de configuración anteriores; un archivo de texto sospechoso por sí solo no demuestra que se haya producido toda acción posterior posible.
Forever recomienda inspeccionar archivos de instrucciones inesperados, revisar la configuración del agente y mantener controles de aprobación y de sandbox. En entornos gestionados, la tarea operativa adicional es hacer visible a las personas responsables del asistente tanto el origen de esas instrucciones como los efectos resultantes.
Revise un flujo de trabajo importado
Elija un flujo de trabajo habitual de desarrollo, como inspeccionar un proyecto de ejemplo descargado. Identifique los archivos de instrucciones que importa, las herramientas que el asistente puede invocar y las configuraciones que puede cambiar. Asigne una persona responsable a cada integración persistente antes de ampliar los permisos de ese flujo de trabajo.
Maetra Secure puede ayudar a revisar prompts, mensajes, llamadas a herramientas y resultados frente a amenazas en tiempo de ejecución. Ese análisis no establece la procedencia de un archivo ni sustituye los permisos del endpoint. El punto de partida útil es una acción concreta que cambie la configuración y evidencia de que se mantuvo dentro de la tarea que el usuario autorizó.
El artículo de Maetra sobre escapes del entorno aislado de agentes de programación aborda la cuestión relacionada de los límites de ejecución.