El riesgo de los asistentes de codificación: Más allá de la productividad
La adopción de asistentes de codificación basados en Inteligencia Artificial ha transformado el desarrollo de software, permitiendo una mayor agilidad y eficiencia. Sin embargo, esta integración tecnológica introduce nuevos vectores de ataque. Recientemente, se ha revelado una técnica denominada GhostSplice, que permite a servidores maliciosos manipular a estos agentes para robar información crítica, como claves SSH, secretos de entorno y código fuente propietario.
¿Qué es el protocolo MCP y por qué es vulnerable?
El ataque se centra en herramientas que utilizan el Model Context Protocol (MCP). Este es un estándar abierto que permite a los asistentes de IA conectarse y llamar a herramientas en servidores externos. Aunque el MCP está diseñado para ser estructurado, investigadores del ASSET Research Group han demostrado que los agentes de IA pueden ser engañados para combinar instrucciones aparentemente inofensivas provenientes de diferentes canales en un único contexto de trabajo malicioso.
GhostSplice: El arte de la fragmentación de instrucciones
La genialidad —y peligrosidad— de GhostSplice reside en la fragmentación. En lugar de enviar una instrucción maliciosa directa (que sería rechazada por los filtros de seguridad del modelo), el servidor atacante divide la solicitud en fragmentos rutinarios:
- Fragmento A: Una descripción de herramienta que parece legítima (por ejemplo, un verificador de integridad).
- Fragmento B: Un resultado de escaneo que mapea campos inofensivos a archivos sensibles como
.envoid_rsa.
Individualmente, ninguna pieza parece peligrosa. Sin embargo, el agente de IA une estas piezas y, siguiendo su lógica de asistencia, termina recolectando los archivos locales sensibles y enviándolos de vuelta al servidor del atacante bajo la apariencia de una «verificación de hash».
Resultados de la investigación: Una eficacia del 100%
Las pruebas realizadas son reveladoras. Al dividir la instrucción maliciosa en dos partes, el cumplimiento de la orden por parte de los modelos de IA aumentó del 42% al 82% en promedio. Modelos de alto nivel como GPT-4o, Gemini 2.0 Flash y Llama 3.3 pasaron de un 0% de éxito en ataques directos a un 100% de éxito cuando se utilizó la técnica de fragmentación GhostSplice.
Es importante destacar que este ataque no es una intrusión externa arbitraria; requiere que un desarrollador conecte previamente un servidor MCP malicioso a su entorno de trabajo, lo que subraya la importancia de la gobernanza en las herramientas de terceros.
Recomendaciones de ciberseguridad para empresas
Desde la perspectiva de la gestión de riesgos y la normativa de seguridad, las organizaciones deben adoptar medidas proactivas para mitigar estos riesgos asociados a la IA:
- Validación de integraciones: Tratar cualquier servidor MCP externo o de terceros como una fuente no confiable hasta que sea debidamente auditada.
- Humano en el bucle (Human-in-the-loop): Mantener siempre la supervisión humana para autorizar cualquier invocación de herramientas o acceso a sistemas de archivos por parte de la IA.
- Aislamiento de datos: Implementar políticas donde los resultados de una herramienta no fluyan automáticamente como argumentos de otra sin una validación intermedia.
- Formación y concienciación: Educar a los equipos de desarrollo sobre los riesgos de los ataques de inyección de prompts y la manipulación de contextos en asistentes de IA.
En Intedya, recordamos que la seguridad en la era de la Inteligencia Artificial no depende solo de la robustez del modelo, sino de los controles y la gobernanza que establecemos alrededor de su uso corporativo.
Fuentes
- The Hacker News — Malicious MCP Servers Can Split Instructions to Make AI Coding Agents Exfiltrate Secrets
https://thehackernews.com/2026/08/malicious-mcp-servers-can-split.html