El riesgo de la IA Agente: Cuando la automatización se vuelve contra la empresa
En el actual ecosistema empresarial, la adopción de la Inteligencia Artificial Agente (capaz de tomar decisiones y ejecutar acciones de forma autónoma) se ha convertido en una prioridad para mejorar la eficiencia. Sin embargo, investigadores de seguridad han identificado una serie de vulnerabilidades en Salesforce Agentforce, denominadas colectivamente como ‘Salesbleed’, que demuestran cómo estas herramientas pueden ser manipuladas para comprometer la seguridad interna.
El hallazgo, realizado por la firma Zenity, revela que los atacantes pueden utilizar formularios web aparentemente inofensivos para inyectar instrucciones maliciosas en los agentes de IA, permitiéndoles desde exfiltrar datos sensibles hasta realizar ataques de phishing directamente en los canales de Slack de la organización.
¿Cómo funciona ‘Salesbleed’? Del formulario web al canal de Slack
El ataque aprovecha una funcionalidad común en Salesforce: los formularios Web-to-lead. Estos formularios son puntos de entrada donde las empresas aceptan datos de usuarios externos para generar oportunidades de venta. El proceso de explotación se divide en tres fases críticas:
- Inyección de Prompts: En lugar de introducir datos legítimos, un atacante envía instrucciones diseñadas para la IA (prompt injection) a través del formulario.
- Procesamiento del Agente: El agente de Agentforce ingiere esta información y, al confiar en la entrada, ejecuta las instrucciones maliciosas dentro del entorno corporativo.
- Escalada a Slack: La IA, actuando en nombre del atacante, puede publicar mensajes en hilos internos de Slack. Dado que el mensaje proviene de un bot de confianza y carece de una atribución clara a un usuario externo, los empleados suelen confiar en el contenido, facilitando el robo de credenciales mediante enlaces fraudulentos.
La respuesta técnica de Salesforce
Tras la divulgación de estas vulnerabilidades, Salesforce ha implementado medidas correctivas para mitigar el riesgo. Anteriormente, la plataforma utilizaba expresiones regulares (regex) para identificar y bloquear URLs maliciosas, un método que los investigadores lograban evadir con formatos inesperados.
Ahora, la compañía ha adoptado un sistema de análisis de URLs basado en especificaciones (parsing), mucho más robusto, y ha centralizado la inspección de tráfico de IA a través de una pasarela única de seguridad. Además, se han actualizado las configuraciones por defecto en Slack para requerir confirmación humana antes de que un agente pueda enviar ciertos mensajes.
El problema de la visibilidad en la IA corporativa
Más allá de los parches técnicos, ‘Salesbleed’ pone de manifiesto un problema estructural en la industria: la falta de visibilidad. Muchos sistemas de IA actuales funcionan como ‘cajas negras’, donde es difícil rastrear el razonamiento de la máquina o auditar quién hizo qué y por qué.
Desde la perspectiva de la ciberseguridad y el cumplimiento, es fundamental que las empresas que despliegan agentes de IA revisen sus niveles de permisos. Como señalan los expertos, cuanto más poder y autonomía se le otorga a un agente, mayor es el vector de ataque si este se ve comprometido.
Recomendaciones para empresas
Para las organizaciones que utilizan Salesforce y Slack, desde Intedya recomendamos las siguientes acciones:
- Revisar configuraciones: Asegurarse de que los agentes de IA requieran aprobación humana para acciones críticas o comunicaciones externas/internas masivas.
- Principio de menor privilegio: Limitar el acceso de los agentes de IA solo a los repositorios de datos estrictamente necesarios para su función.
- Monitorización continua: Implementar soluciones de visibilidad que permitan auditar las interacciones entre los agentes de IA y los canales de comunicación corporativa.
Fuentes
- Dark Reading — ‘Salesbleed’ Exploits Salesforce Agents to Enable Slack Phishing
https://www.darkreading.com/application-security/salesbleed-exploits-salesforce-agents-slack-phishing