- Introducción al descubrimiento de la vulnerabilidad de seguridad
- Mecanismo de ataque y explotación de prompts
- Extracción de credenciales y confirmación de la brecha
- Respuesta de Google y justificaciones de la falta de recompensa
- Preocupaciones de seguridad sobre la delegación en lenguaje natural
- Recomendaciones de expertos para proteger los sistemas
- Preguntas frecuentes
Introducción al descubrimiento de la vulnerabilidad de seguridad
En un desarrollo de seguridad de gran importancia y gravedad que genera numerosas preocupaciones e inquietudes técnicas sobre el futuro de la seguridad en los sistemas autónomos, investigadores de seguridad especializados presentaron una demostración en vivo y documentada de lo que describieron como el primer caso práctico y confirmado de un sistema de agentes de inteligencia artificial autónomo que explota y manipula a otro agente inteligente dentro de un entorno de producción de software real. Este impactante descubrimiento se produjo después de que los investigadores encontraran y verificaran que los flujos de trabajo automatizados e integrados que dependen de la inteligencia artificial en el repositorio del kit de herramientas de desarrollo de agentes (conocido por las siglas ADK), diseñado para el lenguaje Python y perteneciente a Google, eran vulnerables a la manipulación maliciosa intencionada por parte de terceros. Dicha manipulación astuta permitiría a los atacantes escalar y elevar de forma ilícita los niveles de privilegios técnicos y de seguridad de los usuarios, lo que en última instancia conduciría a la ejecución de código arbitrario y no autorizado a nivel del sistema operativo y de integración continua del sistema en vivo, exponiendo a las infraestructuras a un riesgo considerable.
Mecanismo de ataque y explotación de prompts
La empresa de ciberseguridad Pillar Security publicó los impactantes resultados de su investigación el pasado lunes, detallando con precisión cómo un ataque basado en inyección de prompts maliciosos, introducido de forma clandestina y silenciosa dentro de un problema o issue público en la plataforma de programación GitHub, puede engañar fácilmente a un agente de triaje de bajos privilegios para que active y desencadene otro agente independiente con privilegios mucho mayores, un agente que supuestamente está reservado únicamente para colaboradores de confianza y aprobados en el repositorio de código. Para comprender la naturaleza de este ataque encadenado, cabe señalar que el repositorio ADK —un conjunto de herramientas de software de código abierto con gran popularidad que registra más de 90 millones de descargas— ejecutaba dos categorías distintas de agentes de inteligencia artificial totalmente automatizados con diferentes privilegios y niveles, pero que desafortunadamente compartían un límite de confianza común y peligroso. El primer agente, el orientado al público que se activa automáticamente cuando cualquier usuario abre un problema nuevo o envía una solicitud de extracción (pull request) normal, publicaba sus respuestas e interacciones utilizando una cuenta dedicada llamada «ADK bot» con privilegios de colaborador. Por su parte, los demás flujos de trabajo independientes dotados de privilegios elevados estaban restringidos y configurados estrictamente para operar solo cuando el propietario del repositorio o un miembro de confianza publicaba comandos de ejecución específicos que comenzaban con palabras como «gh» o «git». En este escenario, el investigador de seguridad Dan Lisichkin, de Pillar Security, descubrió que cualquier atacante puede redactar y construir con gran precisión un ataque de inyección de prompts que obligue al agente público y abierto a todos a publicar el comando de ejecución sensible en nombre de la cuenta de bot autorizada, cumpliendo y superando por completo los requisitos de la puerta de verificación de privilegios sin necesidad de ninguna intervención o aprobación por parte de un colaborador humano real. La prueba demostró que las restricciones impuestas al flujo de trabajo con privilegios elevados eran simplemente insuficientes y débiles, dado que las operaciones de escritura y modificación de archivos aún permitían a los atacantes ejecutar código arbitrario y peligroso en su totalidad.
Extracción de credenciales y confirmación de la brecha
Para demostrar la gravedad de la situación de manera práctica y categórica ante la comunidad técnica, los investigadores presentaron una demostración en vivo del proceso de extracción del token de acceso personal secreto y exclusivo del bot afectado e infiltrado, y confirmaron oficialmente que la clave de cuenta de servicio sensible vinculada a una plataforma de computación en la nube de la compañía también se encontraba expuesta de manera alarmante dentro del propio entorno del flujo de trabajo. Aunque los investigadores cumplieron con las directrices éticas de investigación y no pudieron confirmar el alcance total ni el impacto exacto de ninguna de estas dos credenciales críticas para evitar daños al sistema, el simple hecho de probar la capacidad de acceder a ellas y extraerlas representa una falla de seguridad catastrófica en un entorno de software abierto y ampliamente utilizado por los desarrolladores.
Respuesta de Google y justificaciones de la falta de recompensa
Como respuesta muy rápida a este revelador hallazgo de seguridad crítico, Google eliminó por completo tres flujos de trabajo afectados del repositorio —el flujo de análisis de problemas, el de corrección de problemas y el de análisis de solicitudes de extracción— en un commit con fecha del 9 de junio de 2026, confirmando posteriormente la finalización de la corrección integral de la vulnerabilidad el 21 de julio. La compañía explicó en su comunicado aclaratorio que la compleja vulnerabilidad explotada «no cumplía con los criterios y requisitos estrictos» necesarios para recibir una recompensa en efectivo por la detección de errores (bug bounty), argumentando que el ataque aún requería en sus fases finales que un revisor humano fusionara (merge) una solicitud de extracción maliciosa para que el ataque tuviera pleno éxito en el sistema. Al comentar sobre esta postura y las justificaciones de la empresa, Lisichkin —quien presentará los abrumadores resultados de su investigación y experimento en la prestigiosa conferencia DEFCON, dentro de la sección «AI Village», el viernes 7 de agosto— afirmó que esta exhaustiva investigación demuestra sin lugar a dudas que el concepto de aislar a los agentes inteligentes por sí solo ya no es suficiente para proteger los sistemas. Añadió: «Nuestro mundo técnico cambia y evoluciona hoy a una velocidad enorme y sin precedentes, y estas nuevas e innovadoras superficies de ataque aún no se reflejan adecuadamente en los modelos de amenaza actuales, ya que este tipo de ataques avanzados no existían ni eran posibles en el mundo anterior a la proliferación de los agentes inteligentes».
Preocupaciones de seguridad sobre la delegación en lenguaje natural
Varios analistas destacados y expertos en cibersecurity subrayaron que estos peligrosos hallazgos exigen un replanteamiento y una evaluación profunda y radical de cómo se estructuran y fluyen la autoridad y los privilegios a través de los sistemas avanzados basados en agentes de inteligencia artificial. Al respecto, Sanchit Vir Gogia, analista principal de Greyhound Research, indicó que el desarrollo más importante y peligroso radica en que «el lenguaje natural humano se ha integrado de forma efectiva e imprevista en el flujo de delegación de seguridad sensible, y este es el cambio fundamental que merece ser destacado e informado, más allá de centrarse únicamente en la idea de que se trata del primer ataque de su tipo». Por su parte, Sakshi Grover, directora de investigación sénior de servicios de ciberseguridad en IDC para la región de Asia-Pacífico, enfatizó la necesidad de que los directores de seguridad de la información (CISO) en las grandes empresas adopten un enfoque proactivo para rastrear e identificar a los agentes inteligentes que interactúan y consumen contenido no confiable de fuentes externas, evaluando si las salidas y resultados generados por dichos agentes poseen la peligrosa capacidad de activar y desencadenar flujos de trabajo con privilegios de seguridad mucho más altos, además de revisar el límite máximo de la capacidad efectiva de las credenciales de seguridad involucradas en estos complejos procesos para evitar posibles catástrofes.
Recomendaciones de expertos para proteger los sistemas
Al concluir su detallado y preventivo informe de seguridad, Pillar Security emitió una recomendación crucial y estricta para los tomadores de decisiones y desarrolladores, en el sentido de que las empresas deben comprometerse a otorgar y asignar a todos los agentes inteligentes identidades y permisos digitales de alcance reducido y definidos con absoluta precisión. Asimismo, recalcó la importancia de garantizar de manera total y absoluta que ningún agente inteligente pueda activar o desencadenar el trabajo de otro agente superando los límites y privilegios que le fueron asignados, y ello sin contar con una capa de control y supervisión estricta e independiente que no pueda ser manipulada, falsificada o vulnerada por ataques maliciosos de inyección de prompts, salvaguardando así la integridad del sistema.
Preguntas frecuentes
Pregunta: ¿Cuál es la naturaleza de la grave vulnerabilidad de seguridad que motivó la eliminación de flujos de trabajo por parte de la empresa?
Respuesta: Se descubrió una vulnerabilidad crítica basada en inyección de prompts que permite a un agente de inteligencia artificial abierto al público engañar a otro agente con privilegios superiores para que ejecute código malicioso de forma completamente independiente y sin el conocimiento ni la intervención de la administración.
Pregunta: ¿Por qué Google se negó a otorgar una recompensa económica a los investigadores a pesar de haber demostrado la gravedad de la vulnerabilidad?
Respuesta: La compañía consideró en su evaluación interna que la vulnerabilidad, a pesar de su complejidad técnica, requería la intervención humana real y el éxito en la aplicación de técnicas de ingeniería social sobre un revisor humano para completar la cadena de ataque y fusionar el código con éxito, lo que hizo que no cumpliera con los estrictos criterios de su programa de recompensas.
Pregunta: ¿Cuál fue la recomendación principal formulada por los expertos en seguridad para asegurar los sistemas de agentes de inteligencia artificial en el futuro?
Respuesta: Los expertos recomiendan enfáticamente asignar identidades digitales con privilegios estrictos y muy limitados a los agentes, asegurando la existencia de mecanismos y controles de supervisión rigurosos que impidan que cualquier agente active o desencadene tareas de otro agente dotado de privilegios administrativos superiores, evitando así que sean explotados por los ciberdelincuentes.
