El miércoles, Microsoft lanzó dos nuevas herramientas de equipos rojos:Muralla y Claridad—, destinado a ayudar a los desarrolladores a diseñar software agente más seguro y ayudar a los equipos de respuesta a incidentes frente a infracciones continuas.
Se construye la muralla además de PyRIT, un existente marco de automatización abierto Microsoft desarrolló sistemas de IA generativa para equipos rojos. Pero mientras PyRIT escanea los sistemas ya construidos en busca de fallas de seguridad, Rampart está diseñado para probar continuamente el código en busca de vulnerabilidades durante el proceso de desarrollo, codificando escenarios de prueba tanto adversos como benignos en el proceso de desarrollo de software para señalar errores y dependencias explotables.
Microsoft dijo que Rampart fue creado para centrarse en ataques de inyección cruzada, donde «un agente recupera o procesa contenido potencialmente envenenado de documentos, correos electrónicos, tickets y otras fuentes de datos que manipulan el comportamiento indirectamente». También confirma que las correcciones o exploits funcionan según lo previsto a través de múltiples rondas de pruebas, a diferencia de las herramientas que realizan una «validación de un solo disparo».
La segunda herramienta, Claridadpuede ejecutarse como una aplicación de escritorio, una interfaz web o integrarse directamente en un agente de codificación para proporcionar orientación de ingeniería de seguridad en tiempo real a los desarrolladores desde el inicio de un proyecto. Puede categorizar y rastrear diferentes objetivos comerciales relacionados con el código y resaltar las implicaciones de seguridad posteriores junto con alternativas de diseño más seguras.
Ram Shankar Siva Kumar, quien fundó el equipo rojo de IA de Microsoft en 2019, dijo a CyberScoop que la compañía ha visto beneficios de seguridad interna al usar las herramientas, pero cree que el crecimiento de Rampart y Clarity depende de las contribuciones de otros desarrolladores fuera del ecosistema de Microsoft.
En el vertiginoso mundo de la IA, donde la codificación ambiental, los agentes de IA no autorizados y una constante rotación de lanzamientos de nuevos modelos crean nuevas implicaciones de seguridad casi todas las semanas, Siva Kumar dijo que era importante comenzar a construir procesos de seguridad fundamentales centrados en la IA en el proceso de desarrollo de software.
«Cuando escuchas hablar mucho sobre la seguridad de la IA, parece que hay muchos debates filosóficos», dijo. «Verán marcos, verán documentos técnicos, y creo que ya hemos superado ese momento. Realmente necesitamos empezar a pensar en la seguridad de la IA como una disciplina de ingeniería y tratar de llevar la seguridad donde están los desarrolladores».
La utilidad potencial de Rampart para los defensores va más allá de simplemente asegurar los procesos de desarrollo de software. También se puede utilizar durante una respuesta activa a un incidente para acelerar o automatizar el equipo rojo para realizar correcciones urgentes, parches y remediación.
Microsoft ha utilizado Rampart al investigar vulnerabilidades reportadas en sus propios productos. Siva Kumar dijo que la herramienta fue capaz de ayudar a condensar en horas el trabajo manual de una semana (replicar la vulnerabilidad, identificar diferentes variantes del mismo error, luego parchear y volver a probar esas variantes para garantizar que ya no sean explotables) en horas. Mientras tanto, Clarity actúa como un asesor de seguridad para proyectos de software, incitando a los desarrolladores a considerar los riesgos potenciales en sus decisiones de diseño y sus consecuencias de seguridad posteriores. . Con el aumento del código y los agentes generados por IA y el abaratamiento de la ejecución, este tipo de orientación proactiva es cada vez más importante.
«Podrás crear aplicaciones, crear servidores MCP para extraer cosas de Internet», dijo Siva Kumar. «La pregunta es ¿debería hacerlo? y Clarity es un paso en esa dirección. Es preguntar 'oye, ¿deberías hacer esto en primer lugar?'»
Microsoft ha presentado dos nuevas herramientas de código abierto llamadas MURALLA y Claridad para ayudar a los desarrolladores a probar mejor la seguridad de los agentes de inteligencia artificial (IA).
MURALLAabreviatura de Risk Assessment and Measurement Platform for Agentic Red Teaming, funciona como un marco de pruebas de seguridad nativo de Pytest para escribir y ejecutar pruebas de seguridad para agentes de IA, que cubren problemas adversarios y benignos, así como varias categorías de daños.
Los usuarios pueden escribir casos de prueba para atacar o sondear a un agente de IA para explorar posibles violaciones de seguridad, como inyecciones cruzadas, donde datos no confiables llegan a un sistema de IA indirectamente a través de una fuente de datos (por ejemplo, correo electrónico, archivo o página web) procesada por este, o regresiones de comportamiento no intencionadas y exfiltración de datos.
RAMPART luego evalúa el resultado de esas pruebas e informa los resultados. Todo lo que necesita es un adaptador que conecte un agente al conjunto de pruebas. La herramienta se basa en PyRIT (abreviatura de Python Risk Identification Tool), que Microsoft lanzó hace más de dos años como una forma de probar sistemas de inteligencia artificial.
Claridadpor otro lado, ha sido descrito por el gigante tecnológico como una «caja de resonancia estructurada» para ayudar a los desarrolladores a llegar al enfoque correcto incluso antes de escribir una sola línea de código. Es un «socio de pensamiento de IA que retrocede», guiándolos a través de la aclaración de problemas, la exploración de soluciones, el análisis de fallas y el seguimiento de decisiones.
Al hacer públicas estas herramientas, Microsoft dijo que la idea es abordar por qué ciertas decisiones se incorporan en una etapa temprana del desarrollo de software para que cualquier problema potencial (por ejemplo, el acceso de un agente a una herramienta) se aborde mucho antes de que se construya el sistema.
«Queríamos brindarles a los gerentes de producto e ingenieros una manera de poner a prueba sus suposiciones al inicio de un proyecto, cuando cambiar de rumbo es barato y la conversación correcta puede ahorrar meses de retrabajo». Ram Shankar Siva Kumarun Data Cowboy y fundador del AI Red Team de Microsoft, dicho en un blog compartido con The Hacker News.
Microsoft señaló que una motivación secundaria detrás de invertir en estas herramientas es hacer que los incidentes sean reproducibles y las mitigaciones verificables y escalar los aprendizajes de los ejercicios de equipos rojos convirtiéndolos en activos de ingeniería ejecutables.
«Mientras que PyRIT se optimiza para el descubrimiento de cajas negras por parte de los investigadores de seguridad después de que se construye el sistema, RAMPART se construye para los ingenieros a medida que se construye el sistema», agregó Siva Kumar. «La claridad ayuda a los equipos a aclarar la intención del diseño y capturar las suposiciones. Juntos, estos enfoques hacen que la seguridad de la IA pase de una revisión única a un conjunto de artefactos vivos que los desarrolladores pueden utilizar durante todo el ciclo de vida».
Los analistas confirmaron recientemente lo que los equipos de seguridad de identidad temían silenciosamente: los agentes de IA se están implementando más rápido de lo que las empresas pueden controlarlos. En su Guía de Mercado inaugural para Agentes Guardianes, Gartner afirma que “la adopción empresarial de agentes de IA se está acelerando, superando la madurez de los controles de las políticas de gobernanza”. Los líderes empresariales pueden solicitar acceso a la Guía de mercado de Gartner para agentes guardianesdisponible de forma gratuita en Orchid Security.
El desafío no es simplemente de herramientas. Es una brecha estructural en la forma en que se ha gestionado la identidad durante las últimas décadas. La gestión tradicional de identidad y acceso se diseñó para que los usuarios humanos iniciaran y cerraran sesión en los sistemas. Los agentes de IA operan de manera diferente: se ejecutan continuamente, abarcan múltiples aplicaciones, adquieren permisos de manera oportunista y generan actividad a la velocidad de la máquina. El resultado es otra forma de lo que Orchid Security llama «materia oscura de identidad»: una capa invisible y no administrada de actividad de identidad que opera bajo el radar de las plataformas IAM convencionales.
Según el análisis de Orchid, Aproximadamente la mitad de la actividad de identidad empresarial ya ocurre fuera de la visibilidad centralizada de IAM. ¿Por qué? Porque si bien muchas identidades residen en directorios centrales y los controles están disponibles en herramientas centrales de IAM, muchas identidades y controles viven en las propias aplicaciones. Este es el desafío de la gestión de identidades y accesos (IAM), ¿cómo gestiono lo que ni siquiera puedo ver?
Sin embargo, la buena noticia es que una respuesta es «pregúntale a Orchid». A continuación se muestran algunos ejemplos.
Tres preguntas que se hacen ahora los equipos de identidad
Ask Orchid es el agente de inteligencia artificial integrado en la plataforma de Orchid exactamente para esto. Aplica la observabilidad de la identidad en el origen (dentro de las aplicaciones, en la capa binaria y de configuración) y responde preguntas en lenguaje natural sobre el estado completo de la identidad. Estas son tres de las preguntas que los líderes de seguridad y cumplimiento plantean ahora.
Pregunta 1: «¿Qué agentes de IA se ejecutan en nuestro entorno?»
Ésta es la pregunta que la mayoría de las empresas aún no pueden responder, y quizá sea la más importante. Los agentes de IA se están implementando en todas las unidades de negocios, incrustados en plataformas SaaS, integrados a través de API y construidos internamente por equipos de desarrollo. Los procesos de gobernanza no han seguido el ritmo. Muchas organizaciones no tienen un inventario centralizado de los agentes que operan dentro de su entorno, y mucho menos visibilidad de lo que hacen esos agentes, a qué datos acceden o qué identidades utilizan para hacerlo.
«Ask Orchid aborda esto directamente. Cuando se le pregunta «¿Qué agentes de IA se están ejecutando en nuestro entorno?», aplica la observabilidad de identidad en cada aplicación, examinando cuentas de usuario, flujos de autenticación, permisos de autorización y actividad de tiempo de ejecución en la fuente. La plataforma no simplemente marca los agentes que están activos durante una ventana de monitoreo. Proporciona:
Descubrimiento automático de agentes de IA, incluido su probable propósito y perfil de riesgo.
Identificación de áreas donde se confirma que los agentes de IA no están en uso, para obtener una imagen completa
Acciones recomendadas para ayudar a establecer una supervisión adecuada
Para los líderes de gobernanza, riesgo y cumplimiento, esta capacidad representa la diferencia entre gestionar la adopción de la IA y ser gestionado por ella.
Pregunta 2: «¿Hasta qué punto cumplimos con los requisitos de identidad del NIST en este momento?»
Para los CISO empresariales, el cumplimiento normativo es una doble obligación: un requisito legal y una base de seguridad. Pero con las aplicaciones en constante evolución, conocer el estado real de cumplimiento del NIST, por ejemplo, en un momento dado históricamente ha requerido una auditoría externa de un tercero.
«Pregúntale a Orchid» cambia esa ecuación. Cuando se le preguntó directamente: «¿Hasta qué punto cumplimos ahora con los requisitos de identidad de NIST LCR?»: examina cómo se implementan los controles de identidad dentro de cada aplicación, a nivel binario, donde finalmente se definen. Luego compara lo que realmente está codificado con lo que requiere NIST, cubriendo tanto el marco 1.1 establecido como la versión 2.0 actualizada. El resultado no es un cuadro de mando genérico. Incluye:
Una visión clara de qué controles se implementan adecuadamente y dónde existen brechas.
Detalle a nivel de aplicación, no solo a nivel de plataforma o resúmenes específicos de herramientas
Una hoja de ruta de remediación priorizada con próximos pasos viables
En lugar de esperar a que un auditor revele las vulnerabilidades después del hecho, los CISO ahora pueden evaluar y abordar su postura de cumplimiento a pedido, antes de la auditoría, no debido a ella.
Pregunta 3: «¿Tenemos credenciales estáticas que deberían rotarse inmediatamente?»
Las credenciales estáticas son uno de los problemas más antiguos y persistentes en la seguridad de la identidad. Cuentas de servicio, acceso a API, tokens de máquina a máquina, credenciales “rompidas”: se acumulan en todas las empresas, a menudo se emiten por motivos legítimos y luego se olvidan. Si no se gestionan, se convierten en uno de los objetivos de mayor valor para los atacantes y en uno de los puntos de apoyo más comunes para los agentes de IA que explotan la materia oscura de identidad de forma diseñada.
Cuando se nos pregunta «¿Tenemos credenciales estáticas que deberían rotarse inmediatamente?», Ask Orchid examina las credenciales en todas las aplicaciones, no solo las conectadas a un proveedor de identidad central, sino también las que están en la nube, en las instalaciones y en cuentas locales. La respuesta incluye:
Un inventario completo de credenciales estáticas en todo el entorno.
Dónde viven y por qué es necesario rotarlos
Una priorización por niveles de riesgo, que identifica qué credenciales representan la exposición más urgente
La inteligencia de credenciales que solía ser invisible se entrega en minutos.
El problema más profundo: la materia oscura de la identidad se está acelerando
Los tres escenarios anteriores no son casos extremos. Representan el desafío principal que enfrentan los equipos de seguridad empresarial en la actualidad: el patrimonio de identidad ha crecido mucho más allá de lo que las plataformas IAM tradicionales fueron diseñadas para ver. Las aplicaciones autentican a los usuarios localmente. Las cuentas de servicio se aprovisionan y se olvidan. A los agentes de IA se les otorgan nuevas identidades con amplios permisos. La suma de toda esta actividad no administrada (y más), la materia oscura de la identidad, se está expandiendo a un ritmo que iguala, y en muchos casos supera, la tasa de adopción de la IA en sí.
Lo que hace que esto sea particularmente difícil es la naturaleza estructural de la brecha. No se trata simplemente de agregar más conectores a una plataforma IAM existente. El problema es que la mayoría de las herramientas de identidad se detienen en el evento de inicio de sesión. No observa lo que sucede dentro de las aplicaciones después de la autenticación.
Cómo cierra la brecha Orchid Security
Orchid Security fue creado exactamente para este entorno. Funciona dentro de las aplicaciones, en el origen de la actividad de identidad, en lugar de en el perímetro de un sistema IAM centralizado. A través del análisis binario y la instrumentación dinámica, Orchid inspecciona la lógica de autenticación y autorización nativa directamente dentro de las aplicaciones, sin requerir API, cambios de código fuente ni integraciones prolongadas. Esto le brinda visibilidad de la mitad de la actividad de identidad empresarial que queda fuera de la visibilidad de IAM convencional, incluidos todos los agentes de IA que operan en todo el patrimonio.
Reconocido como Vendedor Representante en Guía de mercado inaugural de Gartner para agentes guardianes — descrito como un proveedor que «administra las identidades/el acceso de los agentes de IA con políticas y gobernanza de confianza cero» — Orchid ofrece lo que llama autoridad de identidad de espectro completo: desde la observabilidad hasta la orquestación, en todas las identidades, humanas y no humanas.
Para los agentes de IA en particular, su enfoque se basa en cinco principios que rigen la adopción segura de agentes de IA:
Atribución de humano a agente: Cada acción del agente de IA está vinculada a un propietario humano responsable, lo que garantiza la responsabilidad por la actividad impulsada por la máquina.
Auditoría Integral de Actividad: Se registra una cadena de custodia completa: Agente → Herramienta/API → Acción → Objetivo, lo que permite generar informes de cumplimiento y respuesta a incidentes.
Barandillas dinámicas y sensibles al contexto: Las decisiones de acceso se evalúan continuamente, en función del contexto en tiempo real, la sensibilidad del recurso objetivo y los derechos del propietario humano, reemplazando privilegios amplios con autorización específica
Mínimo privilegio: La elevación Just-in-Time reemplaza el acceso persistente en «modo dios» entre agentes de IA e identidades de máquinas
Remediación automatizada: El comportamiento riesgoso desencadena respuestas automáticas, incluida la rotación de credenciales y la finalización de la sesión, sin requerir intervención manual.
Para los equipos de seguridad que preguntan si tienen agentes de IA no gobernados en su entorno, credenciales no rotadas en aplicaciones olvidadas, brechas de cumplimiento que su última auditoría pasó por alto, Orchid proporciona las respuestas (y la ruta de solución) sin esperar a que una infracción las haga visibles.
Gartner no respalda a ningún proveedor, producto o servicio descrito en sus publicaciones. Las publicaciones de Gartner reflejan las opiniones de la organización de investigación de Gartner y no deben interpretarse como declaraciones de hechos.
¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.
Las agencias de ciberseguridad de Estados Unidos, Australia, Canadá, Nueva Zelanda y el Reino Unido publicaron conjuntamente el viernes una guía instando a las organizaciones a tratar los sistemas autónomos de inteligencia artificial como una preocupación central de ciberseguridad, advirtiendo que la tecnología ya se está implementando en sectores críticos de infraestructura y defensa con salvaguardias insuficientes.
La guía se centra en la IA agente: software construido sobre grandes modelos de lenguaje que pueden planificar, tomar decisiones y realizar acciones de forma autónoma. Para que este software funcione, necesita conectarse a herramientas externas, bases de datos, almacenes de memoria y flujos de trabajo automatizados, lo que le permite ejecutar tareas de varios pasos sin revisión humana en cada etapa.
La guía fue coautora de la Agencia de Seguridad Cibernética y de Infraestructura de EE. UU., la Agencia de Seguridad Nacional, el Centro Australiano de Seguridad Cibernética de la Dirección de Señales de Australia, el Centro Canadiense de Seguridad Cibernética, el Centro Nacional de Seguridad Cibernética de Nueva Zelanda y el Centro Nacional de Seguridad Cibernética del Reino Unido.
El mensaje central de las agencias es que la IA agente no requiere una disciplina de seguridad completamente nueva. Las organizaciones deben incorporar estos sistemas a los marcos de ciberseguridad y las estructuras de gobernanza que ya mantienen, aplicando principios establecidos como confianza cero, defensa en profundidad y acceso con privilegios mínimos.
El documento identifica cinco categorías amplias de riesgo. El primero es el privilegio: cuando a los agentes se les concede demasiado acceso, un solo compromiso puede causar mucho más daño que una vulnerabilidad de software típica. El segundo cubre fallas de diseño y configuración, donde una mala configuración crea brechas de seguridad incluso antes de que un sistema entre en funcionamiento.
La tercera categoría cubre riesgos de comportamiento, o casos en los que un agente persigue un objetivo de maneras que sus diseñadores nunca pretendieron o predijeron. El cuarto es el riesgo estructural, donde las redes interconectadas de agentes pueden desencadenar fallas que se extienden a través de los sistemas de una organización.
La quinta categoría es la rendición de cuentas. Los sistemas agentes toman decisiones a través de procesos que son difíciles de inspeccionar y generan registros que son difíciles de analizar, lo que dificulta rastrear qué salió mal y por qué. Las agencias también señalan que cuando estos sistemas fallan, las consecuencias pueden ser concretas: archivos alterados, controles de acceso modificados y pistas de auditoría eliminadas.
La guía también señala la inyección rápida, donde las instrucciones incrustadas dentro de los datos pueden secuestrar el comportamiento de un agente para realizar tareas maliciosas. La inyección rápida ha sido un problema persistente con los modelos de lenguajes grandes, y algunas empresas admiten que es posible que el problema nunca se resuelva.
La gestión de identidad recibe una atención significativa en todo el documento. Las agencias recomiendan que cada agente lleve una identidad verificada y protegida criptográficamente, utilice credenciales de corta duración y cifre todas las comunicaciones con otros agentes y servicios. Para las acciones de alto impacto, un ser humano debería tener que aprobar, y la guía es explícita en el sentido de que decidir qué acciones requieren esa aprobación es un trabajo para los diseñadores de sistemas, no para el agente.
Las agencias admiten que el campo de la seguridad no se ha puesto al día con la IA agente. Algunos riesgos exclusivos de estos sistemas aún no están cubiertos por los marcos existentes, y la guía exige más investigación y colaboración a medida que la tecnología asume un número creciente de funciones operativas.
«Hasta que las prácticas de seguridad, los métodos de evaluación y los estándares maduren, las organizaciones deben asumir que los sistemas de IA agentes pueden comportarse de manera inesperada y planificar las implementaciones en consecuencia, priorizando la resiliencia, la reversibilidad y la contención de riesgos sobre las ganancias de eficiencia», se lee en la guía.
Antrópico anunciado recientemente que no lanzaría al público Mythos, su modelo de IA más poderoso. El modelo descubrió miles de vulnerabilidades de software previamente desconocidas: fallas que habían permanecido desapercibidas en los principales sistemas operativos y navegadores web durante casi tres décadas. Anthropic dijo que el modelo era demasiado peligroso para implementarlo ampliamente porque las mismas capacidades que le permitieron encontrar y corregir fallas de seguridad podrían permitir a los atacantes explotarlas. Un solo agente de IA, advirtió la compañía, podría buscar debilidades de manera más rápida y persistente que cientos de piratas informáticos humanos.
Esa decisión te dice algo importante sobre dónde estamos. Los mismos sistemas de inteligencia artificial que las empresas se apresuran a implementar como asistentes autónomos (programar citas, escribir códigos, administrar flujos de trabajo) también son capaces de sondear las defensas digitales a una velocidad y escala que ningún equipo humano puede igualar. Y la mayoría de los sistemas que estarían investigando todavía dependen de un modelo de seguridad diseñado para una era en la que una persona se sentaba detrás de cada teclado.
Piense en ello como un edificio donde cada puerta tiene una cerradura, pero todas las cerraduras fueron diseñadas para reconocer las manos humanas. Ahora el edificio está lleno de robots (algunos de ellos mensajeros autorizados, otros intrusos) y las cerraduras no notan la diferencia.
No hace mucho, podías sentarte en tu escritorio, mirar la nota adhesiva en tu monitor para encontrar tu nombre de usuario y contraseña, escribirlos y tomar una taza de café mientras tu navegador abría una puerta al resto del mundo. Cada capa de seguridad que siguió (contraseñas, preguntas de seguridad, escaneos biométricos, autenticación de dos factores) surgió de una única suposición fundamental: una persona estaba en el otro extremo.
Los agentes de IA rompen esa suposición desde dos direcciones al mismo tiempo. Los agentes legítimos necesitan credenciales para actuar como humanos. OpenAI Operador navega por sitios web en su nombre. de google Géminis Puedes planificar tus próximas vacaciones familiares mientras duermes. Visa presentada recientemente Conexión de comercio inteligenteuna plataforma que permite a los agentes de IA realizar compras para los consumidores. Estas no son demostraciones ni tomas calientes de una conferencia de tecnología. Están enviando productos que actúan en nombre de personas reales y, para hacerlo, necesitan su identidad.
Al mismo tiempo, los adversarios pueden fingir humanidad a gran escala. La misma IA que puede actuar como un asistente útil y convincente también puede ser un imitador malicioso. No entran ellos inician sesión—a través de credenciales compartidas, canales de contratación, portales de incorporación de proveedores y herramientas de colaboración. La mayoría de las organizaciones todavía tratan la identidad como un problema de inicio de sesión, algo que TI maneja con contraseñas más seguras o pasos de autenticación adicionales superpuestos a los sistemas existentes. El desafío más difícil ahora es saber a quién o qué ya has dejado entrar.
Esa distinción está colapsando justo cuando los sistemas digitales se vuelven más autónomos.
Cuando esa distinción se desdibuja, el daño es concreto. Si un flujo de trabajo de adquisiciones no puede distinguir entre un administrador humano y un imitador de IA, las órdenes de compra se emiten con una autoridad falsa. Cuando los registros de cumplimiento no pueden determinar cómo se autorizó una decisión (por una persona o un robot), la cadena de responsabilidad se desmorona. Los reguladores y los clientes no aceptarán «no estamos seguros» como explicación.
La economía se ha inclinado marcadamente hacia el atacante. El fraude sofisticado alguna vez requirió coordinación, con personas investigando objetivos, elaborando mensajes y ajustando tácticas en tiempo real. Los agentes de IA eliminan esas limitaciones. Una persona ahora puede supervisar un ejército de sistemas autónomoscada uno de los cuales ejecuta una persona válida en múltiples interacciones simultáneamente. Un solo operador puede disponer de cien empleados sintéticos por el coste de un salario real. La barrera para la suplantación de identidad a gran escala ya no es la habilidad ni la mano de obra. Es acceso a un modelo capaz y un conjunto de credenciales robadas.
Los controles de identidad más estrictos conllevan un costo. Cada paso de verificación adicional es un momento en el que un cliente podría abandonar una transacción o un empleado podría perder la paciencia con un protocolo de seguridad. El objetivo no es acabar con la automatización. Es para asegurarse de que los sistemas que actúan en su nombre estén autorizados para hacerlo.
Algunas organizaciones se están adaptando. Están tratando a los agentes de IA menos como software y más como nuevos empleados, catalogando a cada agente en su entorno, limitando permisos y exigiendo aprobación humana para acciones sensibles. Están yendo más allá de las contraseñas hacia una autenticación resistente al phishing que vincula el acceso a un dispositivo conocido y un usuario verificado. Están construyendo bases de comportamiento para que cuando un robot de servicio al cliente consulte repentinamente una base de datos financiera, o un nuevo empleado acceda al código fuente el primer día, salten las alarmas.
Ya nadie guarda su contraseña en una nota adhesiva (espero). Pero la suposición detrás de la nota adhesiva, de que una mano humana la escribiría, todavía sustenta la mayoría de los sistemas de los que dependemos. Estos sistemas guardan sus registros médicos, procesan su hipoteca y permiten que un asistente de inteligencia artificial vuelva a reservar su vuelo. En un mundo donde los agentes de IA actúan más rápido, más persistentemente y más convincentemente que cualquier persona, esa suposición es la vulnerabilidad.
Las organizaciones que puedan verificar la identidad continuamente (no sólo en la puerta, sino en cada acción, para cada actor, humano o máquina) tendrán una ventaja duradera. Los que no puedan, descubrirán lo que cuesta la ambigüedad.
Devin Lynch es Director Senior del Paladin Global Institute y ex Director de Implementación de Políticas y Estrategias en la Oficina del Director Cibernético Nacional.
A medida que las organizaciones consideran la IA agente para sus negocios y sus pilas de TI, los investigadores continúan encontrando errores y vulnerabilidades en los principales modelos comerciales que pueden expandir significativamente su superficie de ataque.
Esta semana, investigadores de Pillar Security revelado una vulnerabilidad en Antigravity, una herramienta de desarrollo impulsada por IA para operaciones de sistemas de archivos creada por Google.
El error, parcheado desde entonces, combinaba la inyección rápida con la capacidad permitida de creación de archivos de Antigravity para otorgar a los atacantes privilegios de ejecución remota de código.
La investigación detalla cómo el exploit pudo eludir el modo seguro de Antigravity, la configuración de seguridad más alta de Google para sus agentes que ejecuta todas las operaciones de comando a través de un entorno de pruebas virtual, acelera el acceso a la red y prohíbe al agente escribir código fuera del directorio de trabajo.
Se supone que el modo seguro limita el acceso del agente de IA a sistemas sensibles y su capacidad para ejecutar actos maliciosos o peligrosos a través de comandos de shell. Pero una de las herramientas de búsqueda de archivos utilizadas por Antigravity, llamada «find_by_name», está clasificada como una herramienta del sistema «nativa». Esto significa que el agente puede ejecutarlo directamente y antes de que protecciones como el Modo seguro puedan incluso evaluar las operaciones a nivel de comando.
«El límite de seguridad que impone el Modo Seguro simplemente nunca ve esta llamada», escribió Dan Lisichkin, investigador de seguridad de IA de Pillar Security. «Esto significa que un atacante logra la ejecución de código arbitrario bajo la configuración exacta en la que confiaría un usuario preocupado por la seguridad para evitarlo».
Los ataques de inyección rápida se pueden realizar a través de cuentas de identidad comprometidas conectadas al agente, o indirectamente ocultando instrucciones clandestinas dentro de archivos de código abierto o contenido web que el agente ingiere. Antigravity tiene problemas para distinguir entre los datos escritos que ingiere para el contexto y las instrucciones literales, por lo que se puede lograr un compromiso sin ningún acceso elevado al hacer que lea un documento o archivo malicioso.
Según un cronograma de divulgación proporcionado por Pillar Security, el error se informó a Google el 6 de enero y se corrigió el 28 de febrero, y Google otorgó una recompensa por el descubrimiento.
Lisichkin dijo que este mismo patrón de inyección rápida a través de entradas no validadas se ha encontrado en otros agentes de codificación de IA como Cursor. En la era de la IA, cualquier entrada no validada puede convertirse en un mensaje malicioso capaz de secuestrar sistemas internos.
«El modelo de confianza que sustenta los supuestos de seguridad, de que un humano detectará algo sospechoso, no se sostiene cuando agentes autónomos siguen instrucciones de contenido externo», escribió.
El hecho de que la vulnerabilidad haya podido eludir por completo el modo seguro de Google subraya cómo la industria de la ciberseguridad debe comenzar a adaptarse y «ir más allá de los controles basados en la desinfección».
«Cada parámetro de herramienta nativa que llega a un comando de shell es un punto de inyección potencial. La auditoría de esta clase de vulnerabilidad ya no es opcional y es un requisito previo para enviar funciones agentes de forma segura», escribió Lisichkin.
La Inteligencia Artificial (IA) ya no es sólo una herramienta con la que hablamos; es una herramienta que hace cosas para nosotros. estos se llaman Agentes de IA. Pueden enviar correos electrónicos, mover datos e incluso administrar software por su cuenta.
Pero hay un problema. Si bien estos agentes agilizan el trabajo, también abren una nueva «puerta trasera» para los piratas informáticos.
El problema: «El empleado invisible»
Piense en un agente de IA como un empleado nuevo que tiene las llaves de todas las oficinas de su edificio pero no tiene una etiqueta con su nombre.
Como estos agentes actúan por su cuenta, a menudo tienen acceso a información confidencial que nadie está mirando. Los piratas informáticos se han dado cuenta de esto. Ya no necesitan descifrar su contraseña, solo necesitan engañar a su agente de IA para que haga el trabajo por ellos.
Si su empresa utiliza IA para automatizar tareas, podría estar en riesgo. Las herramientas de seguridad tradicionales se crearon para proteger a los humanos, no a los «trabajadores digitales».
En nuestro próximo seminario web, Más allá del modelo: la superficie de ataque ampliada de los agentes de IARahul Parwani, jefe de producto de seguridad de IA en ariadesglosará exactamente cómo los piratas informáticos se dirigen a estos agentes y, lo que es más importante, cómo puede detenerlos.
Lo que aprenderás
La «materia oscura» de la identidad: Por qué los agentes de IA suelen ser invisibles para su equipo de seguridad y cómo encontrarlos.
Cómo se engaña a los agentes: Descubra cómo una simple «mala idea» oculta en un documento puede hacer que un agente de IA filtre los secretos de su empresa.
El plan de seguridad: Pasos sencillos para brindarles a sus agentes de IA el poder que necesitan sin darles el «Modo Dios» sobre sus datos.
¿Quién debería asistir?
Si es un líder empresarial, un profesional de TI o cualquier persona responsable de mantener seguros los datos de la empresa, esta sesión es para usted. No es necesario ser un experto en codificación para comprender estos riesgos.
No permita que su IA se convierta en su mayor agujero de seguridad.
¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en noticias de google, Gorjeo y LinkedIn para leer más contenido exclusivo que publicamos.
OpenClaw ha solucionado un problema de seguridad de alta gravedad que, si se hubiera explotado con éxito, podría haber permitido que un sitio web malicioso se conectara a un agente de inteligencia artificial (IA) que se ejecuta localmente y tomara el control.
«Nuestra vulnerabilidad reside en el sistema central mismo: sin complementos, sin mercado, sin extensiones instaladas por el usuario, solo la puerta de enlace OpenClaw, que se ejecuta exactamente como está documentado», Oasis Security dicho en un informe publicado esta semana.
La falla ha sido nombrada en código. GarraJacked por la empresa de ciberseguridad.
El ataque asume el siguiente modelo de amenaza: un desarrollador tiene OpenClaw configurado y ejecutándose en su computadora portátil, con su puertaun servidor WebSocket local, vinculado a localhost y protegido por una contraseña. El ataque se activa cuando el desarrollador llega a un sitio web controlado por un atacante mediante ingeniería social o algún otro medio.
La secuencia de infección sigue los pasos siguientes:
JavaScript malicioso en la página web abre una conexión WebSocket al host local en el puerto de puerta de enlace de OpenClaw.
El script aplica fuerza bruta a la contraseña de la puerta de enlace aprovechando un mecanismo de limitación de velocidad que falta.
Después de una autenticación exitosa con permisos de nivel de administrador, el script se registra sigilosamente como un dispositivo confiable, que la puerta de enlace aprueba automáticamente sin ningún aviso del usuario.
El atacante obtiene control total sobre el agente de IA, lo que le permite interactuar con él, volcar datos de configuración, enumerar los nodos conectados y leer registros de aplicaciones.
«Cualquier sitio web que visite puede abrir uno en su host local. A diferencia de las solicitudes HTTP normales, el navegador no bloquea estas conexiones entre orígenes», dijo Oasis Security. «Entonces, mientras navega por cualquier sitio web, JavaScript que se ejecuta en esa página puede abrir silenciosamente una conexión a su puerta de enlace OpenClaw local. El usuario no ve nada».
«Esa confianza fuera de lugar tiene consecuencias reales. La puerta de enlace relaja varios mecanismos de seguridad para las conexiones locales, incluida la aprobación silenciosa de nuevos registros de dispositivos sin avisar al usuario. Normalmente, cuando se conecta un nuevo dispositivo, el usuario debe confirmar el emparejamiento. Desde localhost, es automático».
Tras una divulgación responsable, OpenClaw impulsó una solución en menos de 24 horas con versión 2026.2.25 publicado el 26 de febrero de 2026. Se recomienda a los usuarios que apliquen las últimas actualizaciones lo antes posible, auditen periódicamente el acceso otorgado a los agentes de IA y apliquen controles de gobernanza adecuados para identidades no humanas (también conocidas como agentes).
El desarrollo se produce en medio de un escrutinio de seguridad más amplio del ecosistema OpenClaw, principalmente debido al hecho de que los agentes de IA tienen acceso arraigado a sistemas dispares y la autoridad para ejecutar tareas a través de herramientas empresariales, lo que lleva a un radio de explosión significativamente mayor en caso de verse comprometidos.
Informes de Bitsight y Confianza neuronal han detallado cómo las instancias de OpenClaw que se dejan conectadas a Internet representan una superficie de ataque ampliada, con cada servicio integrado ampliando aún más el radio de explosión y pueden transformarse en un arma de ataque incorporando inyecciones rápidas en el contenido (por ejemplo, un correo electrónico o un mensaje de Slack) procesado por el agente para ejecutar acciones maliciosas.
La divulgación se produce cuando OpenClaw también parchó una vulnerabilidad de envenenamiento de registros que permitía a los atacantes escribir contenido malicioso para registrar archivos a través de solicitudes WebSocket en una instancia de acceso público en el puerto TCP 18789.
Dado que el agente lee sus propios registros para solucionar ciertas tareas, un actor de amenazas podría abusar de la laguna de seguridad para incorporar inyecciones indirectas, lo que tendría consecuencias no deseadas. El asunto fue abordado en versión 2026.2.13que se envió el 14 de febrero de 2026.
«Si el texto inyectado se interpreta como información operativa significativa en lugar de una entrada no confiable, podría influir en las decisiones, sugerencias o acciones automatizadas», Eye Security dicho. «Por lo tanto, el impacto no sería una ‘adquisición instantánea’, sino más bien: manipulación del razonamiento del agente, influencia en los pasos de solución de problemas, posible divulgación de datos si el agente es guiado para revelar el contexto y mal uso indirecto de las integraciones conectadas».
«A medida que los marcos de agentes de IA se vuelven más frecuentes en los entornos empresariales, el análisis de seguridad debe evolucionar para abordar tanto las vulnerabilidades tradicionales como las superficies de ataque específicas de la IA», afirmó Endor Labs.
En otros lugares, una nueva investigación ha demostrado que las habilidades maliciosas cargadas en ClawHub, un mercado abierto para descargar habilidades de OpenClaw, se están utilizando como conductos para entregar una nueva variante de Atomic Stealer, un ladrón de información de macOS desarrollado y alquilado por un actor de delitos cibernéticos conocido como Araña de galleta.
«La cadena de infección comienza con un SKILL.md normal que instala un requisito previo», Trend Micro dicho. «La habilidad parece inofensiva en la superficie e incluso fue etiquetada como benigna en VirusTotal. Luego, OpenClaw va al sitio web, busca las instrucciones de instalación y continúa con la instalación si el LLM decide seguir las instrucciones».
Las instrucciones alojadas en el sitio web «openclawcli.vercel[.]app» incluye un comando malicioso para descargar una carga útil de ladrón desde un servidor externo («91.92.242[.]30») y ejecútelo.
Los cazadores de amenazas también han señalado una nueva campaña de entrega de malware en el que se identificó a un actor de amenazas con el nombre @liuhui1010, que dejó comentarios en páginas legítimas de listas de habilidades, instando a los usuarios a ejecutar explícitamente un comando que proporcionaron en la aplicación Terminal si la habilidad «no funciona en macOS».
El comando está diseñado para recuperar Atomic Stealer de «91.92.242[.]30», una dirección IP previamente documentada por Koi Security y OpenSourceMalware para distribuir el mismo malware a través de habilidades maliciosas cargadas en ClawHub.
Es más, un análisis reciente de 3.505 habilidades de ClawHub realizado por la empresa de seguridad de IA Straiker ha descubierto no menos de 71 programas maliciosos, algunos de los cuales se hacían pasar por herramientas de criptomonedas legítimas pero contenían funciones ocultas para redirigir fondos a billeteras controladas por actores de amenazas.
Otras dos habilidades, bob-p2p-beta y runware, se han atribuido a una estafa de criptomonedas de múltiples capas que emplea una cadena de ataque de agente a agente dirigida al ecosistema de agentes de IA. Las habilidades se han atribuido a un actor de amenazas que opera bajo los alias «26medias» en ClawHub y «BobVonNeumann» en Moltbook y X.
«BobVonNeumann se presenta como un agente de IA en Moltbook, una red social diseñada para que los agentes interactúen entre sí», dijeron los investigadores Yash Somalkar y Dan Regalado. «Desde esa posición, promueve sus propias habilidades maliciosas directamente a otros agentes, explotando la confianza que los agentes están diseñados para extenderse entre sí de forma predeterminada. Es un ataque a la cadena de suministro con una capa de ingeniería social construida encima».
Sin embargo, lo que hace bob-p2p-beta es instruir a otros agentes de inteligencia artificial para que almacenen las claves privadas de la billetera Solana en texto sin formato, compren tokens $BOB sin valor en pump.fun y enruten todos los pagos a través de una infraestructura controlada por el atacante. La segunda habilidad pretende ofrecer una herramienta de generación de imágenes benigna para generar credibilidad del desarrollador.
Dado que ClawHub se está convirtiendo en un nuevo terreno fértil para los atacantes, se recomienda a los usuarios auditar las habilidades antes de instalarlas, evitar proporcionar credenciales y claves a menos que sea esencial y monitorear el comportamiento de las habilidades.
Los riesgos de seguridad asociados con los tiempos de ejecución de agentes autohospedados como OpenClaw también han llevado a Microsoft a emitir un aviso, advirtiendo que la implementación sin vigilancia podría allanar el camino para la exposición/exfiltración de credenciales, modificación de la memoria y compromiso del host si se puede engañar al agente para que recupere y ejecute código malicioso, ya sea a través de habilidades envenenadas o inyecciones rápidas.
«Debido a estas características, OpenClaw debe tratarse como una ejecución de código no confiable con credenciales persistentes», dijo el equipo de investigación de seguridad de Microsoft Defender. dicho. «No es apropiado ejecutarlo en una estación de trabajo personal o empresarial estándar».
«Si una organización determina que OpenClaw debe ser evaluado, debe implementarse solo en un entorno completamente aislado, como una máquina virtual dedicada o un sistema físico separado. El tiempo de ejecución debe usar credenciales dedicadas y sin privilegios y acceder solo a datos no confidenciales. El monitoreo continuo y un plan de reconstrucción deben ser parte del modelo operativo».
