AI coding agents fall for malicious instructions planted in the Downloads folder

Una in­ves­ti­ga­ción de Fo­re­ver Se­cu­rity re­ve­ló que las he­rra­mien­tas de in­te­li­gen­cia ar­ti­fi­cial uti­li­za­das para pro­gra­mar, co­no­ci­das como agen­tes de có­di­go, pue­den ser ma­ni­pu­la­das me­dian­te ins­truc­cio­nes ma­li­cio­sas ocul­tas en un do­cu­men­to de texto plano al­ma­ce­na­do en la car­pe­ta de des­car­gas. Este tipo de ar­chi­vo, em­plea­do ha­bi­tual­men­te para guiar a los asis­ten­tes en pro­yec­tos de soft­wa­re, puede ser de­po­si­ta­do en dicho di­rec­to­rio por si­tios web sin re­que­rir per­mi­sos ni clics pre­vios del usua­rio.

Du­ran­te las prue­bas rea­li­za­das con el sis­te­ma Codex de Ope­nAI, el agen­te obe­de­ció las ór­de­nes con­te­ni­das en el do­cu­men­to ma­li­cio­so en la gran ma­yo­ría de los in­ten­tos, lo que pro­vo­có mo­di­fi­ca­cio­nes en la con­fi­gu­ra­ción del equi­po e ins­ta­ló un pa­que­te de có­di­go per­ju­di­cial pre­via­men­te eli­mi­na­do de una bi­blio­te­ca pú­bli­ca. En el caso de las prue­bas rea­li­za­das con Clau­de Code de Anth­ro­pic, el asis­ten­te re­sul­tó más di­fí­cil de en­ga­ñar, pero en un por­cen­ta­je de los casos si­guió ins­truc­cio­nes que des­via­ban sus pe­ti­cio­nes hacia ser­vi­do­res con­tro­la­dos por ata­can­tes, com­pro­me­tien­do po­ten­cial­men­te el token de ac­ce­so de la cuen­ta del usua­rio.

Los in­ves­ti­ga­do­res se­ña­lan que este com­por­ta­mien­to no se debe a un error que las em­pre­sas de­sa­rro­lla­do­ras deban co­rre­gir, sino al di­se­ño mismo de los agen­tes que si­guen las ins­truc­cio­nes de sus car­pe­tas. Como me­di­da de pro­tec­ción, re­co­mien­dan evi­tar el uso de estos asis­ten­tes en la car­pe­ta de des­car­gas, re­vi­sar mi­nu­cio­sa­men­te cual­quier ar­chi­vo de ins­truc­cio­nes des­co­no­ci­do, man­te­ner ac­ti­va­das las aler­tas de apro­ba­ción y los en­tor­nos se­gu­ros, y re­em­pla­zar las cre­den­cia­les de ac­ce­so en caso de ha­llar un ar­chi­vo sos­pe­cho­so.