MemoryBrain
¿Puede una nota o un archivo de memoria manipular a mi agente?
Sí. Un texto que el agente lee puede intentar darle órdenes ajenas a tu petición. Revisa los cambios en archivos de instrucciones y memoria, limita los permisos y conserva las fuentes. Son medidas de higiene, no una garantía de protección.
Revisa lo que va a convertirse en instrucciones
Comprueba el origen del archivo
Antes de usar un repositorio o una plantilla ajena, lee sus archivos de instrucciones. Pregunta quién los escribió, qué cambió y por qué. Una nota que contiene una cita debe seguir siendo material de consulta, aunque la cita incluya órdenes.
Revisa lo que guarda el agente
Inspecciona los cambios que propone en CLAUDE.md, AGENTS.md y en sus notas de memoria automática. Busca reglas que desactiven comprobaciones, amplíen permisos o contradigan el encargo. Revisa también las correcciones aparentemente útiles. Guarda un historial para poder ver y revertir cambios.
Limita las herramientas disponibles
Si la tarea consiste en consultar notas, usa acceso de solo lectura cuando el cliente y el servidor lo permitan. Comprueba los permisos reales: escribir «no modifiques nada» no retira una herramienta de escritura. El acceso de solo lectura reduce las modificaciones posibles, pero no impide que un texto intente influir en la respuesta.
Mantén las citas fuera de los archivos de instrucciones
No pegues páginas, correos o respuestas de desconocidos sin revisar en un archivo que el agente cargará como reglas. Conserva el original con su fuente en un documento aparte. Si necesitas una regla, escríbela tú después de decidir qué parte aceptas.
Comprueba el resultado
Revisa el código o documento final y ejecuta las comprobaciones adecuadas al cambio. Si encuentras una instrucción sospechosa, detén la tarea afectada, conserva el cambio para revisarlo y restaura una versión conocida antes de continuar.
Qué estudió el artículo y qué encontró
El preprint Security Impact of Coding Agent’s Memory Files, presentado el 28 de octubre de 2026, estudió archivos maliciosos de instrucciones en tareas de generación de código. Comparó Claude Code y OpenCode con y sin esos archivos.
El resumen informa de cambios entre menos 8 y más 6 puntos porcentuales en la tasa de soluciones seguras, sin patrón consistente entre agentes o variantes. Es un resultado de ese experimento, no una probabilidad de que una nota tuya cause un ataque.
La discusión y las limitaciones señalan que no repitieron las ejecuciones y no pueden demostrar significación estadística. El estudio no mide la frecuencia de ataques en repositorios reales ni evalúa robo de credenciales o exfiltración. Detectar o mencionar el archivo tampoco permitió juzgar de forma fiable la seguridad del código. No extrapolamos sus resultados a cualquier memoria personal.
Qué añaden las guías oficiales
Anthropic describe la inyección de prompts como instrucciones adversarias insertadas en contenido que procesa el agente y reconoce que el problema no está resuelto. Esa publicación trata del uso del navegador; no es una evaluación de todos los archivos de memoria.
OpenAI recomienda mantener entradas no fiables fuera de los mensajes de desarrollador, limitar el flujo de datos y revisar operaciones de herramientas. Aplicado a estas notas, nuestra recomendación es separar material de consulta e instrucciones aprobadas, y dar al agente solo los permisos necesarios. No hay un prompt que sustituya esos controles.
La procedencia ayuda a revisar, no inmuniza
MemoryBrain conserva la fuente de las notas y separa lo leído de tu opinión. Eso puede ayudar a revisar qué estás recuperando. No afirmamos que proteja contra inyección de prompts. Una fuente visible también necesita juicio y permisos adecuados.
Más: qué son CLAUDE.md y AGENTS.md y memoria con fuentes.
Preguntas frecuentes
¿Toda nota con instrucciones es un ataque?
No. Puede ser una regla legítima o una cita. Revisa su origen y si quien la escribió tenía autoridad para cambiar el encargo.
¿El acceso de solo lectura elimina el riesgo?
No. Limita las modificaciones de la fuente, pero el contenido leído aún puede intentar influir en el agente.
¿Basta con que el agente diga que detectó el ataque?
No. En el estudio citado, reconocer instrucciones sospechosas no garantizó código seguro. Revisa el resultado y sus comprobaciones.
Pruébalo
Mira cómo funciona una memoria que guarda la fuente de cada cosa, sin crear una cuenta.
Fuentes
- Santos de Moura, Güler y Noller, Security Impact of Coding Agent’s Memory Files, resumen. 28-oct-2026. Consultado el 8-nov-2026.
- Mismo preprint, PDF: metodología, discusión y limitaciones. 28-oct-2026. Consultado el 8-nov-2026.
- Anthropic, Mitigating the risk of prompt injections in browser use. 24-nov-2025. Consultado el 8-nov-2026.
- OpenAI, Safety in building agents. s. f. Consultado el 8-nov-2026.