Claude escribe el 90% del código de Anthropic, y un AGENTS.md en tu carpeta de Descargas puede secuestrar a tu agente de IA

Si la IA escribe el 90% del código y nadie lo revisa a fondo, no tienes un equipo de ingeniería: tienes una puerta abierta con buena publicidad.

Esta semana coinciden dos noticias que, juntas, dan bastante miedo. Una empresa presume de que su propio modelo escribe casi todo su código. Y en paralelo, un archivo de texto plano en la carpeta de Descargas demuestra que ese mismo tipo de agente obedece a cualquiera que sepa hablarle.

Vamos por partes.

Lo que el S-1 de Anthropic confesó sobre programar con IA

Anthropic presentó su Formulario S-1 ante la SEC para salir a bolsa en Nasdaq con el símbolo “ANT”. Entre las cifras financieras hay un dato que está dando la vuelta al mundo dev: Claude escribió más del 90% de las contribuciones al código de la empresa en septiembre de 2026. Según el documento, el código aportado por ingeniero al día es más de 45 veces el de 2024.

Los ingenieros, dice el prospecto, ahora “dirigen y revisan” el trabajo del sistema en lugar de escribir línea por línea. Anthropic lo llama “cerrar el círculo”: cada versión de Claude ayuda a construir la siguiente.

Suena a revolución. Pero lee la letra pequeña. El propio S-1 admite que esas métricas salen de sistemas internos y “no han sido verificadas de forma independiente por terceros”. Tampoco define qué cuenta como “contribución”: ¿una línea?, ¿un commit?, ¿un cambio entero? Y no dice cuánto llega a producción sin que un humano lo toque.

Es, a la vez, un dato técnico y un anuncio de Claude Code. Las dos cosas son ciertas. Solo que el segundo papel se nota más.

La grieta que nadie quiere ver: tu agente obedece a cualquiera

Ahora el otro lado de la moneda. Investigadores de Forever Security vieron cómo un agente de programación intentaba instalar un paquete npm sospechoso llamado function-color. Al rastrear el origen, encontraron un archivo AGENTS.md que nadie recordaba haber puesto en la carpeta de Descargas de un desarrollador.

El resultado de sus pruebas es brutal: un AGENTS.md malicioso hizo que Codex ejecutara malware de npm en más de un 90% de los intentos. Y contra Claude Code demostraron una variante que redirigía el endpoint de API del agente, exponía un token OAuth y permitía secuestrar la cuenta, todo usando solo instrucciones en texto plano.

Sin exploit. Sin vulnerabilidad en el binario. Solo un archivo markdown con buena redacción.

Eso es lo que hace tan incómodo el momento actual: los agentes están diseñados para leer instrucciones del entorno y confiar en ellas. Un AGENTS.md es, por definición, “así te digo que trabajes”. Si el agente no distingue entre el que escribió tu equipo y el que cayó en Descargas, el problema no es de ese archivo. Es del modelo de confianza entero.

Y no es un caso aislado. Esta misma semana se divulgó el CVE-2026-112346: el SDK de OpenHands, en todas las versiones anteriores a la 1.52.0, expone el servidor del agente en 0.0.0.0 con la lista de claves de sesión vacía. Ejecución remota de código sin autenticación, CVSS 9.8, comandos como root y secretos en texto plano al alcance de cualquiera con acceso a la red.

Tres historias distintas, un mismo patrón: se ha construido la autonomía mucho más rápido que el aislamiento.

El giro que nadie esperaba: la revisión humana vuelve a ser el cuello de botella

Aquí está la ironía. Durante dos años nos vendieron que el cuello de botella de programar era escribir código. Resulta que, si la IA ya escribe el 90%, el trabajo valioso se desplaza justo a lo contrario: leer, dudar y verificar.

El propio S-1 lo dice sin querer cuando habla de ingenieros que “dirigen y revisan”. La revisión ya no es una tarea de segunda. Es el producto. Y es exactamente la parte que un atacante intenta saltarse metiendo instrucciones en archivos que parecen inofensivos.

La conclusión incómoda para la industria: una empresa que escribe el 90% con IA necesita más seguridad y más revisión por línea, no menos. Quien recorte ahí para “ir más rápido” está comprando velocidad con un préstamo cuyos intereses se pagan en incidentes.

Qué significa esto para ti si programas con agentes

Si trabajas con Claude Code, Codex, Cursor, OpenHands o cualquier agente, esto es lo práctico para hoy mismo:

• Revisa qué archivos de instrucciones lee tu agente. Cualquier AGENTS.md, CLAUDE.md o similar que no hayas escrito o revisado tú es sospechoso, sobre todo en carpetas de Descargas o repos clonados al vuelo.
• No ejecutes agentes en carpetas que no controlas. Trabaja en directorios propios, limpios, y no abras un proyecto ajeno con permisos amplios sin leerlo antes.
• Limita los permisos. Instalar paquetes y ejecutar comandos de red no debería ser automático. Pide confirmación para npm install y cualquier cosa que toque credenciales.
• Actualiza OpenHands a 1.52.0 o superior si lo usas, y nunca expongas sandboxes de agentes en 0.0.0.0 sin autenticación.
• Revisa lo que el agente escribe. Sí, todo. El día que dejes de hacerlo, tu cliente está pagando por código que nadie ha mirado.

Si eres freelance, esto además es una ventaja competitiva. Los clientes empiezan a hacerse la pregunta: “¿y quién revisa lo que genera la IA?”. Quien tenga una respuesta clara, con proceso y con límites, gana el proyecto.

Si quieres programar con agentes de IA sin que se te cuele un archivo en Descargas, o necesitas que alguien revise a fondo el código que ya generaste, escríbeme. Soy desarrollador freelance, no una agencia: hablas conmigo directamente, sin intermediarios, y miramos juntos qué conviene automatizar y qué no.