El Experimento que Desafía la Seguridad de la IA
La firma de seguridad AIR ha puesto de manifiesto una vulnerabilidad crítica en el ecosistema de los agentes de Inteligencia Artificial. Mediante la creación de una «skill» (una extensión o habilidad) falsa, lograron infiltrarse en aproximadamente 26.000 agentes de IA, incluyendo cuentas corporativas, superando todos los controles de seguridad establecidos por gigantes de la industria.
El experimento consistió en publicar una herramienta denominada «brand-landingpage», supuestamente diseñada para ayudar a usuarios no técnicos a crear páginas de aterrizaje. Aunque el código final era inofensivo por diseño —solo recolectaba la dirección de correo del usuario—, el éxito de su distribución demuestra que las barreras actuales son insuficientes frente a atacantes sofisticados.
El Punto Ciego: Enlaces Externos Mutables
Lo más preocupante de este caso es que la skill pasó con éxito los escaneos de seguridad de herramientas de referencia como las de Cisco y NVIDIA. ¿Cómo fue posible? La técnica utilizada se basa en un punto ciego estructural: el escaneo se realiza sobre un paquete estático en un momento determinado, pero la ejecución del agente de IA es dinámica.
La skill de AIR no incluía instrucciones maliciosas en su código inicial. En su lugar, indicaba al agente de IA que descargara documentación y librerías desde un enlace externo controlado por la firma. En el momento del escaneo, el enlace apuntaba a contenido legítimo. Una vez que la skill fue instalada masivamente, los investigadores cambiaron el contenido del enlace por un script que ejecutaba acciones no autorizadas.
La Trampa de la Confianza y la Ingeniería Social
Para lograr la adopción masiva, AIR explotó señales de confianza que las empresas suelen considerar seguras:
- Reputación en GitHub: Consiguieron que su skill fuera aceptada en un repositorio popular con miles de estrellas, heredando así una falsa apariencia de legitimidad.
- Publicidad Segmentada: Utilizaron anuncios en redes sociales dirigidos específicamente a perfiles de marketing y diseño, sectores que utilizan activamente agentes de IA para optimizar tareas.
Implicaciones para la Seguridad Empresarial
Desde una perspectiva de gestión de riesgos, este incidente subraya que los agentes de IA deben ser tratados con el mismo rigor que cualquier otro software corporativo. Un atacante real podría haber utilizado este acceso para:
- Exfiltrar datos confidenciales de la empresa.
- Moverse lateralmente dentro de la red corporativa.
- Acceder a sistemas internos a los que el agente de IA tuviera permisos.
Recomendaciones Estratégicas para Organizaciones
Para mitigar estos riesgos, desde Intedya recomendamos a las organizaciones adoptar las siguientes medidas:
- Tratar las «Skills» como Software: No permita la instalación de extensiones de IA sin un proceso de auditoría previo, tal como se haría con una aplicación tradicional.
- Principio de Mínimo Privilegio: Limite estrictamente el acceso de los agentes de IA a los datos y sistemas que realmente necesitan para operar.
- Monitoreo de Conexiones Externas: Vigile las solicitudes que los agentes realizan a URLs externas, especialmente aquellas que no pertenecen a proveedores verificados.
- Fijación de Versiones: Siempre que sea posible, utilice versiones específicas y verificadas de las herramientas de IA en lugar de permitir actualizaciones dinámicas desde fuentes externas.
La IA ofrece ventajas competitivas innegables, pero su adopción debe ir acompañada de una gobernanza de ciberseguridad robusta que entienda que la confianza no puede delegarse únicamente en escaneos automáticos o reputaciones digitales fácilmente manipulables.
Fuentes
- The Hacker News — Fake AI Agent Skill Passed Security Scans and Reportedly Reached 26,000 Agents
https://thehackernews.com/2026/06/fake-ai-agent-skill-passed-security.html