El riesgo oculto en la automatización del desarrollo de software
En el ecosistema del desarrollo de software moderno, la Integración Continua y la Entrega Continua (CI/CD) son los pilares que permiten la agilidad. Sin embargo, una nueva investigación ha sacado a la luz una clase de debilidad denominada ‘Cordyceps’, que utiliza los Pull Requests (solicitudes de cambios en el código) para comprometer la cadena de suministro de software a gran escala.
Esta vulnerabilidad, identificada por la firma de seguridad Novee, no reside en un error de código tradicional, sino en la configuración insegura de los flujos de trabajo automatizados. Al enviar un Pull Request malicioso, un atacante puede ejecutar código no autorizado en los entornos de CI/CD de una organización, obteniendo acceso a secretos críticos como claves de firma y tokens de acceso con altos privilegios.
Impacto en gigantes tecnológicos
La gravedad de ‘Cordyceps’ queda patente al observar las organizaciones afectadas. Según los investigadores, se detectaron vulnerabilidades confirmadas en repositorios de:
- Microsoft: Específicamente en Azure Sentinel, donde un comentario en un Pull Request podía ejecutar código para robar claves de aplicaciones de GitHub.
- Google: En su kit de desarrollo de agentes de IA, permitiendo potencialmente el control sobre proyectos de Google Cloud.
- Apache y Cloudflare: Donde se identificaron ataques de «cero clics» que podrían comprometer bases de datos analíticas y SDKs de trabajadores.
En total, de 654 repositorios analizados, 300 fueron confirmados como totalmente explotables, lo que demuestra que esta no es una falla aislada, sino un patrón sistémico en la industria.
La Inteligencia Artificial como catalizador del riesgo
Uno de los aspectos más preocupantes señalados en la investigación es el papel de los agentes de codificación basados en IA. Estas herramientas están acelerando la creación de configuraciones de CI/CD, pero a menudo reproducen patrones inseguros de forma masiva. Al generar archivos de configuración (como YAML) sin una auditoría de seguridad rigurosa, la IA está escalando inadvertidamente la superficie de ataque de ‘Cordyceps’ en millones de repositorios.
Recomendaciones para la alta dirección y CISOs
Desde la perspectiva de la ciberseguridad corporativa, es fundamental entender que el código de los flujos de trabajo es, a todos los efectos, código de aplicación. No debe tratarse como una simple configuración administrativa. Para mitigar este riesgo, desde Intedya recomendamos:
- Inventariar flujos de trabajo: Identificar todos los procesos de CI/CD que manejan entradas no confiables (como PRs externos) con permisos elevados.
- Principio de privilegio mínimo: Asegurar que los tokens utilizados en los flujos de trabajo tengan el alcance más limitado posible y caducidad definida.
- Auditoría de archivos YAML: Aplicar el mismo rigor de revisión de seguridad a los archivos de configuración de la infraestructura que al código fuente del producto.
- Implementar puertas de enlace de fusión (Merge Gates): Nunca permitir que procesos automáticos tengan acceso a secretos sensibles antes de una revisión humana o una validación de seguridad robusta.
En un entorno donde la cadena de suministro de software es un objetivo prioritario para los ciberdelincuentes, la integridad de nuestros procesos de desarrollo es tan crítica como la del producto final.
Fuentes
- Dark Reading — ‘Cordyceps’: Mushrooming Malicious Pull Requests Threaten Developer Workflows
https://www.darkreading.com/application-security/cordyceps-malicious-pull-requests-developer-workflows