El nuevo frente de batalla: La comunicación entre agentes de Inteligencia Artificial
A medida que las empresas integran la Inteligencia Artificial (IA) en sus flujos de trabajo, surge una nueva superficie de ataque: la interacción entre diferentes agentes autónomos. Recientemente, investigadores de Pillar Security han revelado un método de ataque crítico en el Agent Development Kit (ADK) de Google para Python, que permite a un atacante escalar privilegios y comprometer la integridad del código fuente.
¿En qué consiste el ataque ‘Agent-to-Agent’?
El repositorio de Google utilizaba dos tipos de agentes: uno de bajos privilegios, diseñado para interactuar con el público, y otro de altos privilegios, reservado para tareas de mantenimiento y gestión interna. El fallo permitía que un atacante, mediante un prompt malicioso enviado al agente público, inyectara instrucciones que eran procesadas por el agente privilegiado.
Este fenómeno, conocido como ‘traspaso de comentarios maliciosos’, permitía al agente de altos privilegios ejecutar comandos que originalmente no deberían estar disponibles para un usuario externo.
Impacto y consecuencias técnicas
La explotación de esta vulnerabilidad no era solo teórica; las capacidades obtenidas por los investigadores incluían:
- Exposición de secretos: Acceso a tokens de GitHub y credenciales sensibles.
- Ejecución Remota de Código (RCE): El bot tenía acceso a comandos de bash, permitiendo ejecutar código en el entorno de desarrollo.
- Manipulación de Pull Requests (PR): El atacante podía aprobar cambios de código maliciosos, suplantar la identidad de colaboradores y eludir las revisiones humanas.
Riesgos para la cadena de suministro de software
Este hallazgo es especialmente preocupante porque apunta directamente a la seguridad de la cadena de suministro. Al manipular el ciclo de vida de las revisiones de código, un actor de amenazas podría introducir puertas traseras (backdoors) en proyectos de software legítimos, haciendo que parezca que un humano o una IA de confianza ha validado el cambio.
Respuesta de Google y recomendaciones para empresas
Google ha corregido estas vulnerabilidades mediante un proceso de endurecimiento (hardening) de sus sistemas. Sin embargo, este incidente deja lecciones valiosas para cualquier organización que desarrolle o implemente soluciones basadas en agentes de IA:
- Principio de menor privilegio: Los agentes de IA nunca deben tener acceso a comandos del sistema o tokens de escritura a menos que sea estrictamente necesario.
- Aislamiento de contextos: La comunicación entre agentes con diferentes niveles de confianza debe ser filtrada y validada rigurosamente.
- Supervisión humana: Los procesos críticos, como la aprobación de código o el despliegue de infraestructura, deben requerir siempre una validación humana final que no pueda ser automatizada por un agente.
En Intedya, recordamos que la innovación tecnológica debe ir siempre de la mano con una estrategia de ciberseguridad robusta que anticipe estos nuevos vectores de ataque en el ecosistema de la Inteligencia Artificial.
Fuentes
- SecurityWeek — Gemini Agent-to-Agent Attack Method Exposed Secrets, Enabled Pull Request Tampering
https://www.securityweek.com/gemini-agent-to-agent-attack-exposed-secrets-enabled-pull-request-tampering/