El 25 de octubre de 2026, investigadores afirmaron que OpenAI Codex y Claude Code pueden ser dirigidos mediante archivos de instrucciones maliciosos ubicados en ~/Downloads, lo que convierte una carpeta local habitual en una superficie de ataque.
Forever Security afirmó haber detenido un incidente real de un cliente en el que un agente intentó instalar el paquete npm function-color tras leer un archivo AGENTS.md desde Descargas. La firma reprodujo después el patrón en pruebas: para Codex, informó de una prueba de concepto inocua que tuvo éxito en más del 90 % de las ejecuciones. Para Claude Code, demostró una variante que redirigía el tráfico de API para robar un token OAuth y consiguió aprobar la escritura necesaria en aproximadamente la mitad de las pruebas, según BleepingComputer.
Una salvedad sigue sin resolverse. Los investigadores mostraron que un navegador podía colocar un archivo en Descargas con poca interacción del usuario, pero no se ha confirmado que esa fuera la vía utilizada en el caso real del cliente.