)
Última actualización: 12 de noviembre, 2026
¿Qué son las Codex skills? Las Codex skills son carpetas que enseñan al agente Codex de OpenAI una tarea repetible. Cada carpeta contiene un archivo SKILL.md con un nombre y una descripción, y opcionalmente scripts, referencias y recursos. Codex lee primero la descripción y carga las instrucciones completas solo cuando una tarea encaja. La contrapartida es la confianza: una skill trae texto que el agente obedece y código que puede ejecutar.
TL;DR: puntos clave
- Una Codex skill es un directorio con un archivo SKILL.md, y solo los campos name y description son obligatorios (OpenAI, 2026).
- Codex arranca solo con el nombre, la descripción y la ruta de cada skill, y limita esa lista inicial a un presupuesto pequeño de cerca del 2% de la ventana de contexto o 8.000 caracteres (OpenAI, 2026).
- Las skills viven en 4 ámbitos, repositorio, usuario, administrador y sistema, y la búsqueda en un repositorio va del directorio de trabajo hasta la raíz del repositorio (OpenAI, 2026).
- El formato de SKILL.md sigue la especificación abierta Agent Skills, así que otros agentes que la adoptan comparten el formato (Agent Skills, 2026).
- La auditoría de Snyk de febrero de 2026 sobre 3.984 skills públicas halló un fallo en el 36,82% y 76 cargas maliciosas confirmadas. Son datos del proveedor y no son específicos de Codex (Cloud Security Alliance, 2026).
- El sandbox por defecto de Codex mantiene la red desactivada, y el CVE-2025-59532, un bypass del sandbox con CVSS 8,6, se corrigió en la versión 0.39.0 (GitHub Advisory, 2025).
De un vistazo: Codex skills en 60 segundos
Respuesta rápida
¿Qué hay dentro de una Codex skill y cómo la usa Codex?
Una skill es un directorio construido alrededor de un archivo obligatorio, SKILL.md. Codex lista cada skill por nombre y descripción, y abre el cuerpo, los scripts y las referencias solo cuando la usa. Todo lo ejecutable vive en scripts/, así que una skill son a la vez instrucciones y código.
| Parte | Obligatoria | Qué hace |
|---|---|---|
| SKILL.md | Sí | Frontmatter con name y description, y después las instrucciones |
| scripts/ | No | Código ejecutable que la skill puede pedir a Codex que ejecute |
| references/ | No | Documentos largos que Codex lee solo si hace falta |
| assets/ | No | Plantillas y otros archivos que se usan en el resultado |
| agents/openai.yaml | No | Ajustes de Codex, como si se permite la invocación implícita |
Cómo lo investigamos
El 12 de noviembre de 2026 leímos la documentación de Codex de OpenAI sobre skills, aprobaciones y seguridad, y configuración gestionada. También leímos la especificación abierta Agent Skills, el repositorio openai/skills, el aviso de GitHub del CVE-2025-59532, la nota de la Cloud Security Alliance sobre el envenenamiento de SKILL.md y las listas OWASP de 2026. La documentación cambia a menudo.
Qué son las Codex skills y cómo las usa Codex
Las Codex skills son directorios que empaquetan instrucciones, y opcionalmente scripts y archivos de referencia, para una tarea repetible. Codex carga primero el nombre, la descripción y la ruta de cada skill, y lee el SKILL.md completo solo cuando la usa. Esta divulgación progresiva mantiene el contexto pequeño aunque haya muchas skills instaladas.
Puedes llamar a una skill de forma explícita escribiendo $nombre-de-la-skill o explorando /skills. Codex también puede elegir una de forma implícita cuando tu tarea encaja con una descripción, así que la descripción decide el enrutamiento. Si pones allow_implicit_invocation en false en agents/openai.yaml, desactivas el uso implícito de esa skill.
Según OpenAI (2026), la lista inicial se limita a cerca del 2% de la ventana de contexto o 8.000 caracteres, y el ajuste skills.max_context_tokens puede subirla hasta 10.000. Las descripciones largas se recortan si hay demasiadas. Para las reglas fijas de un proyecto, consulta nuestra guía de AGENTS.md.
| Mecanismo | Qué es | Cuándo se carga |
|---|---|---|
| Skill | Instrucciones para una tarea, con scripts opcionales | Nombre y descripción al inicio, cuerpo al usarla |
| AGENTS.md | Guía fija para un proyecto | Como guía del proyecto en cada ejecución |
| Servidor MCP | Herramientas y datos de un sistema externo | Si está configurado, como herramientas que el agente puede llamar |
| Plugin | Un paquete que distribuye skills y otros componentes | Se instala y sus partes se cargan como siempre |
)
Cómo crear una Codex skill
La vía más rápida es pedir a Codex que ejecute $skill-creator, que genera la carpeta. A mano, crea un directorio con un archivo SKILL.md con un nombre y una descripción, y añade scripts o referencias solo cuando la tarea los necesite. Inicia una sesión nueva si Codex no lista la skill.
- Ejecuta $skill-creator, o crea .agents/skills/tu-skill/SKILL.md en tu repositorio.
- Escribe el frontmatter. Indica cuándo debe activarse la skill, no solo qué hace.
- Limita el cuerpo a los pasos que Codex necesita. La especificación sugiere menos de 500 líneas, con el material largo en references/.
- Añade scripts/ solo para pasos que deban ser exactos siempre.
- Prueba con $tu-skill y después con una petición normal para comprobar la invocación implícita.
- Ejecuta skills-ref validate, de la librería de referencia de la especificación, para comprobar el formato.
Dónde viven las Codex skills y cómo compartirlas
Codex lee skills de cuatro ámbitos. Las del repositorio están en .agents/skills y viajan con el código, las de usuario en $HOME/.agents/skills, los administradores pueden colocar skills en /etc/codex/skills y OpenAI incluye skills de sistema. Para compartir una skill más allá de un repositorio, empaquétala en un plugin.
| Ámbito | Ubicación | Uso típico |
|---|---|---|
| REPO | .agents/skills en el directorio de trabajo, sus padres y la raíz del repositorio | Flujos de equipo que viajan con el código |
| USER | $HOME/.agents/skills | Skills personales en todos los proyectos |
| ADMIN | /etc/codex/skills | Skills que un administrador ofrece a una máquina |
| SYSTEM | Incluidas con Codex | Skills integradas, entre ellas el creador y el instalador |
Para añadir la skill de otra persona, usa $skill-installer. Según el repositorio openai/skills (2026), el catálogo de GitHub de skills seleccionadas está ahora obsoleto, y OpenAI apunta a los plugins para la distribución. Para desactivar una skill, pon enabled en false en una entrada [[skills.config]], o en [skills.bundled] para las incluidas.
Codex skills vs Claude Code skills y otros agentes
Codex y Claude Code leen una carpeta con SKILL.md del formato abierto Agent Skills, así que una skill sencilla suele pasar de una a otra. Cambian los nombres de carpeta, la sintaxis de llamada y los controles de ejecución. Codex añade un sandbox y políticas de aprobación, y cada herramienta tiene sus propios ajustes de administración.
| Codex | Claude Code | |
|---|---|---|
| Carpeta de skills personales | $HOME/.agents/skills | ~/.claude/skills/ |
| Carpeta de skills de proyecto | .agents/skills | .claude/skills/ |
| Llamada explícita | $nombre-de-la-skill | /nombre-de-la-skill |
| Distribución | Plugins y el ámbito ADMIN | Plugins de marketplaces |
Para el lado de Claude Code, lee nuestra guía de Claude Code skills y la guía de Claude Code plugins. Para las skills propias de ChatGPT, mira las mejores skills de ChatGPT y, para el ecosistema OpenClaw, las OpenClaw skills. Para resultados y no formatos, consulta nuestro benchmark Codex vs Claude Code.
Qué puede salir mal con una Codex skill
Una Codex skill es una instrucción en lenguaje natural que el agente sigue, más código que puede ejecutar, así que se comporta como una dependencia que puede actuar como tú. Los riesgos principales son instrucciones hostiles, scripts, fuentes no fiables y persistencia en otros archivos. La mayoría de la evidencia pública viene de otros agentes, pero el formato es común.
| Riesgo | Qué dice la evidencia | Por qué importa en Codex |
|---|---|---|
| Instrucciones ocultas | La nota de la CSA dice que una carga puede ir en la prosa, en caracteres Unicode invisibles, en referencias externas o en instrucciones condicionales | La descripción y el cuerpo entran en el contexto de Codex, y quien revisa solo ve el texto visible |
| Fuentes no fiables | Auditoría de Snyk: el 36,82% de 3.984 skills tenía un fallo, el 13,4% crítico y 76 maliciosas (datos del proveedor) | Las skills públicas son la fuente principal, y el catálogo openai/skills está obsoleto |
| Scripts | Las cargas de ejecución de comandos fueron una familia recurrente en esa auditoría | Los archivos de scripts/ se ejecutan como comandos, así que el sandbox es la única contención |
| Persistencia | Algunas cargas ordenaban a los agentes escribir instrucciones en otros archivos de contexto | Un AGENTS.md o una skill envenenados pueden sobrevivir a la skill que los escribió |
| Fallos del sandbox | CVE-2025-59532, CVSS 8,6, corregido en 0.39.0 | Una skill solo está tan contenida como la versión de Codex que ejecutas |
Según la Cloud Security Alliance (2026), la auditoría cubrió skills de ClawHub y skills.sh, no de Codex, así que lee los porcentajes como una señal del ecosistema. Según el aviso de GitHub (2025), el CVE-2025-59532 es un bypass del sandbox con una puntuación CVSS de 8,6, corregido en Codex 0.39.0. Revisa una skill antes de usarla:
- Lee SKILL.md y cada archivo al que referencia como instrucciones que actúan con tu autoridad.
- Abre scripts/ y busca llamadas de red, lecturas de credenciales y escrituras fuera del espacio de trabajo.
- Busca caracteres Unicode invisibles en los archivos de texto.
- Copia la skill a tu repositorio y revísala en una pull request, en lugar de instalarla en directo.
- Ejecútala primero con la red desactivada.
Seguridad y gobernanza: controla las Codex skills en producción
Codex te da tres capas: un sandbox que limita lo que pueden tocar los scripts de una skill, políticas de aprobación que deciden cuándo preguntar y una configuración gestionada que los administradores fijan para todos. Ninguna lee la intención de una skill, así que añade inspección en runtime de las llamadas a herramientas del agente.
| Control | Qué hace | Límite |
|---|---|---|
| Sandbox | Red desactivada por defecto, workspace-write, y rutas protegidas como .git, .agents y .codex en solo lectura | No juzga lo que piden las instrucciones dentro de la zona permitida |
| Política de aprobación | Una política granular incluye la opción skill_approval | Las aprobaciones dependen de que una persona las lea |
| Búsqueda web | Resultados en caché por defecto | Los resultados siguen siendo entrada no fiable |
| requirements.toml gestionado | Fija la política de aprobación, el sandbox y los perfiles de permisos, la búsqueda web, los hooks, la lista de servidores MCP permitidos y las fuentes de marketplaces de plugins | No encontramos una lista de skills permitidas en las páginas que leímos, así que confírmalo en la documentación actual |
| Interruptores de skills | enabled = false por skill o para las incluidas | Se definen en archivos de configuración, no en un proceso de revisión |
| Eventos OpenTelemetry | Codex puede emitir eventos para monitorización | Observa, no bloquea |
Según OpenAI (2026), los administradores pueden fijar la aprobación, el sandbox y ajustes relacionados para todos mediante requirements.toml. Trata un cambio de skill como un cambio de código. Exige revisión por pull request en .agents/skills y asigna un responsable por skill. Es una recomendación nuestra, no un ajuste de OpenAI.
Las listas OWASP de 2026 dan un vocabulario común. Este es nuestro mapeo de los riesgos de las skills al Top 10 de LLM y al Top 10 de aplicaciones agénticas. OWASP también tiene en incubación un Agentic Skills Top 10, versión 1.0-2026, centrado en skills.
| Riesgo de la skill | ID OWASP 2026 | Ejemplo en Codex |
|---|---|---|
| Inyección de prompt | LLM01 | Una instrucción hostil en SKILL.md o en un archivo que lee la skill |
| Cadena de suministro | LLM04, ASI04 (Agentic Supply Chain Vulnerabilities) | Una skill copiada de un registro público |
| Agencia excesiva | LLM03 | Una skill que agrupa scripts y permisos amplios |
| Secuestro del objetivo del agente | ASI01 | Texto que redirige la tarea hacia el objetivo del atacante |
| Mal uso de herramientas | ASI02 | Una skill que maneja shell o herramientas MCP más allá de su propósito |
| Abuso de identidad y privilegios | ASI03 | Un script que lee credenciales del entorno |
| Ejecución inesperada de código | ASI05 | Un comando de scripts/, o un fallo del sandbox |
NeuralTrust lo trata como un problema de runtime. Agent Runtime Security (TrustGuard) inspecciona las interacciones de los agentes mientras ocurren y puede permitirlas, bloquearlas o transformarlas en vuelo. Su integración con Codex usa los hooks del ciclo de vida de Codex al enviar el prompt y alrededor de llamadas a herramientas como Bash, apply_patch y MCP, y conecta el Agent Gateway (TrustGate) como servidor MCP. Los hooks solo ven lo que emite Codex, y la documentación lista los límites de la integración, así que léelos antes de confiar en ella.
¿Por dónde empezar?
Empieza por listar las skills que Codex ya ve, después restringe de dónde vienen las nuevas, revisa cada una como código y añade el control en runtime al final. No puedes gobernar skills que no has inventariado, y una revisión no impide que un script se comporte distinto en una ejecución posterior.
| Fase | Objetivo | Acciones clave |
|---|---|---|
| 1. Inventario | Saber qué skills se cargan | Lista .agents/skills, $HOME/.agents/skills y /etc/codex/skills en cada máquina |
| 2. Restricción | Limitar fuentes y alcance | Mantén la red desactivada, desactiva las skills incluidas que no uses y aplica configuración gestionada |
| 3. Revisión | Verificar lo que apruebas | Revisión por pull request, lectura de scripts/ y búsqueda de caracteres invisibles |
| 4. Control en runtime | Gobernar lo que hacen las skills | Exporta eventos OpenTelemetry e inspecciona las llamadas a herramientas y el tráfico MCP |
Conclusión
Las Codex skills son una forma ligera de dar al agente procedimientos repetibles, y también son instrucciones y código que se ejecutan con tu acceso. Escribe descripciones precisas, mantén las skills en el repositorio y revisa scripts y texto como una dependencia. Los administradores deben fijar el sandbox y la política de aprobación de forma central, actualizar Codex y añadir inspección en runtime, porque la configuración decide qué puede ejecutarse, no lo que pide una skill.
Protege las Codex skills en producción con NeuralTrust
Inspecciona el tráfico de agentes y MCP de las Codex skills con controles en runtime y políticas de acceso a nivel de herramienta.
)
Comparativas relacionadas
- Claude Code skills: la guía completa
- Mejores skills de ChatGPT
- OpenClaw skills
- Guía de AGENTS.md
- Benchmark Codex vs Claude Code
- Claude Code plugins
Preguntas frecuentes sobre Codex skills
1. ¿Qué son las Codex skills?
Las Codex skills son directorios que empaquetan instrucciones para una tarea repetible. Cada una tiene un archivo SKILL.md con un nombre y una descripción, y puede añadir scripts, referencias y recursos. Codex lista las skills por nombre y descripción, y carga las instrucciones completas solo cuando usa una, de forma explícita o porque la tarea encaja.
2. ¿Cómo creo una Codex skill?
Ejecuta $skill-creator, o crea una carpeta como .agents/skills/tu-skill con un archivo SKILL.md que tenga un nombre y una descripción. Indica cuándo debe activarse la skill, mantén el cuerpo corto y mueve el material largo a references/. Pruébala con $tu-skill y con una petición normal.
3. ¿Dónde se guardan las Codex skills?
Las skills de repositorio van en .agents/skills, las de usuario en $HOME/.agents/skills y las de administrador en /etc/codex/skills. Codex también incluye skills de sistema. En un repositorio, Codex busca desde el directorio de trabajo por las carpetas padre hasta la raíz, así que una skill puede aplicarse a una sola subcarpeta.
4. ¿Qué diferencia hay entre una Codex skill y AGENTS.md?
AGENTS.md contiene guía fija para un proyecto, como convenciones y comandos. Una skill contiene un procedimiento para una tarea que Codex carga por nombre y descripción solo cuando hace falta, y puede llevar scripts. Usa AGENTS.md para reglas que siempre aplican y una skill para un flujo que repites.
5. ¿Son seguras las Codex skills?
No por defecto. Una skill es texto que el agente obedece y puede incluir scripts que puede ejecutar. Las auditorías públicas de ecosistemas de skills de otros agentes hallaron fallos y cargas maliciosas. Lee las skills como código, mantén Codex actualizado, deja la red del sandbox desactivada y usa configuración gestionada e inspección en runtime en las organizaciones.
6. ¿Cómo desactivo una Codex skill?
Pon enabled en false en una entrada [[skills.config]] de esa skill, o en [skills.bundled] para las incluidas. Para que Codex no elija una skill por su cuenta, pon allow_implicit_invocation en false en el agents/openai.yaml de la skill, y se ejecutará solo cuando la llames por su nombre.
7. ¿Funcionan las Codex skills en Claude Code?
A menudo, las sencillas. Ambas herramientas leen una carpeta con SKILL.md del formato abierto Agent Skills. Cambian las ubicaciones de carpeta y la sintaxis de llamada, y los scripts o ajustes escritos para una herramienta pueden no ejecutarse en la otra, así que prueba una skill copiada antes de confiar en ella.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
Consultadas el 12 de noviembre de 2026.
- OpenAI, "Build skills", documentación de Codex, 2026.
- OpenAI, "Agent approvals and security", documentación de Codex, 2026.
- OpenAI, "Managed configuration", documentación de Codex, 2026.
- OpenAI, "openai/skills", GitHub, consultado el 12 de noviembre de 2026.
- OpenAI, "Sandbox bypass advisory GHSA-w5fx-fh39-j5rw", GitHub Security Advisories, 2025.
- Agent Skills, "Specification", 2026.
- Cloud Security Alliance AI Safety Initiative, "Agent Context Poisoning: SKILL.md and the New AI Supply Chain Attack Surface", 6 de mayo de 2026.
- OWASP GenAI Security Project, "OWASP Top 10 for LLM Applications 2026", 2026.
- OWASP GenAI Security Project, "OWASP Top 10 for Agentic Applications for 2026", 2026.
- OWASP Foundation, "OWASP Agentic Skills Top 10", versión 1.0-2026.