La carpeta de trabajo de un agente de IA como frontera de confianza: alcance, divulgación y consentimiento

Cuando tu agente de codificación se inicia, hereda la carpeta que abre. Esa carpeta es la primera frontera de confianza que el usuario puede ver, y la que los atacantes pueden alcanzar sin pedir permiso.

Un sitio web malicioso puede soltar un archivo en la carpeta Descargas de un usuario sin un clic ni permiso. La encuesta de Omdia a responsables de ciberseguridad reveló que el 40 % de los encuestados tenía una confianza limitada en la seguridad de los agentes de IA de sus organizaciones. Un archivo de instrucciones local no debería poder instalar paquetes, cambiar la configuración ni filtrar tokens de autenticación sin un paso de consentimiento visible. La respuesta del producto es una frontera que el usuario puede ver: delimitar el directorio, divulgar lo que el agente lee y exigir consentimiento para los cambios de configuración.

La carpeta de trabajo es la frontera de confianza

Cuando un agente carga archivos de instrucciones desde un proyecto, está recibiendo órdenes de archivos. Esos archivos pueden ser parte del repositorio, parte de la máquina del usuario o parte de una descarga web. La interfaz debe hacer evidente esa diferencia antes de que el modelo comience a trabajar.

El modelo puede ser cuidadoso, pero el sistema de archivos no. Una ruta es un permiso. Un archivo de instrucciones cargado es una orden permanente. La amenaza es la inyección de prompts a través de archivos, no solo a través del chat: la instrucción puede llegar antes de que el usuario escriba algo.

En un caso, un AGENTS.md malicioso en la carpeta Descargas de un cliente le indicó a Codex que instalara el paquete npm malicioso function-color, y la empresa detuvo la instalación antes de la ejecución.

En pruebas de reproducción, Codex obedeció las instrucciones maliciosas en más del 90 % de las ejecuciones, y el comportamiento incluyó cambiar la configuración del servidor MCP a nivel de máquina y abrir una sesión con los controles de aprobación y sandbox omitidos.

Un archivo CLAUDE.md malicioso podría redirigir el tráfico de API de Claude Code a un servidor controlado por un investigador, filtrar tokens de autenticación y permitir que ese servidor emita comandos, con el cambio de configuración funcionando en aproximadamente la mitad de las pruebas.

Lanza la frontera como comportamiento del producto

El orden importa. Empieza por el sistema de archivos, luego por la superficie de instrucciones y luego por la superficie de consentimiento. Cada capa debe ser visible para el usuario, no solo para el backend. Estas son barreras de protección para agentes que pertenecen al producto, no a un white paper de seguridad.

• Delimita la carpeta de trabajo a la raíz del proyecto. Hecho significa que el agente solo puede leer y escribir dentro del proyecto abierto, y cualquier ruta fuera de esa raíz se bloquea o se marca. La frontera debe seguir el proyecto que el usuario abrió, no una ubicación más amplia de la máquina.
• Clasifica las carpetas como de confianza, escribibles por el usuario o escribibles por la web. El estado final es una clase de confianza visible en el directorio activo, con la razón de su nivel. Una carpeta que el usuario controla es una clase; una carpeta a la que una descarga web puede acceder es otra.
• Muestra en la interfaz los archivos AGENTS.md o CLAUDE.md cargados. Estos archivos pueden contener instrucciones que los agentes siguen, por lo que el usuario debe ver de dónde proviene un archivo cargado antes de que el agente actúe.
• Exige consentimiento para los cambios de configuración, incluida la configuración del servidor MCP. El paso de consentimiento debe mostrar qué cambia, qué afecta y si se aplica a nivel de máquina. Sin ediciones silenciosas de configuración.
• Trata las carpetas escribibles por la web como entrada no confiable. Hecho significa que los archivos de Descargas se tratan como datos, no como comandos. El agente puede resumirlos, pero no debe ejecutar instrucciones de ellos sin una acción explícita del usuario. El error común es asumir que un archivo es inofensivo porque parece documentación.
• Añade evaluaciones para archivos de instrucciones maliciosos. El estado final es una suite de pruebas con archivos AGENTS.md y CLAUDE.md maliciosos que intentan instalar paquetes, redirigir tráfico de API o eludir los controles de sandbox. Las evaluaciones deben informar qué instrucciones se ignoraron, cuáles se bloquearon y cuáles requirieron consentimiento.

El modo de fallo es una carpeta escribible

La ruta peligrosa es un archivo que llega a un lugar que el agente ya confía. El lanzamiento no debería producirse hasta que la interfaz pueda mostrar la frontera.