SAN FRANCISCO – Mandiant está respondiendo a un importante ataque en curso a la cadena de suministro que involucra el compromiso de Trivy, una herramienta de código abierto ampliamente utilizada de Aqua Security que está diseñada para encontrar vulnerabilidades y configuraciones erróneas en repositorios de código.

Las consecuencias del ataque, que se detectó por primera vez el 19 de marzo, son extensas y plantean un riesgo sustancial de compromisos posteriores e intentos amenazantes de extorsión.

«Conocemos más de 1.000 entornos SaaS afectados en este momento que están lidiando activamente con esta campaña de amenazas en particular», dijo Charles Carmakal, director de tecnología de Mandiant Consulting, durante una sesión informativa sobre amenazas celebrada junto con la Conferencia RSAC 2026. “Esas más de mil víctimas probablemente se expandirán a otras 500, otras 1.000, tal vez otras 10.000”.

Los atacantes robaron un token de acceso privilegiado y establecieron un punto de apoyo en el proceso de automatización del repositorio de Trivy explotando una mala configuración en el entorno GitHub Actions de la herramienta a finales de febrero, dijo Aqua Security en un publicación de blog.

El 1 de marzo, la empresa intentó bloquear una infracción en curso cambiando sus credenciales. Más tarde se dieron cuenta de que el intento falló, lo que permitió al atacante permanecer en el sistema utilizando inicios de sesión válidos. Los atacantes publicaron versiones maliciosas de Trivy el 19 de marzo.

«Si bien esta actividad inicialmente pareció ser un evento aislado, fue el resultado de un ataque más amplio y de múltiples etapas a la cadena de suministro que comenzó semanas antes», dijo Aqua Security en la publicación del blog.

Al comprometer la herramienta, los atacantes obtuvieron acceso a secretos de muchas organizaciones, dijo Carmakal. «Probablemente habrá muchos otros paquetes de software, ataques a la cadena de suministro y una variedad de otros compromisos como resultado de lo que está sucediendo en este momento».

Mandiant espera que en los próximos meses se produzcan revelaciones generalizadas de infracciones, ataques posteriores y una variedad de impactos posteriores.

Los atacantes, que la empresa de respuesta a incidentes aún no ha identificado, están colaborando con múltiples grupos de amenazas con sede principalmente en Estados Unidos, Canadá y el Reino Unido. Estos ciberdelincuentes “son conocidos por ser excepcionalmente agresivos con su extorsión”, dijo Carmakal. «Son muy ruidosos, muy agresivos».

Mandiant todavía está trabajando para identificar la raíz del ataque inicial. «No podemos decir exactamente cómo se robaron esas credenciales, porque creemos que esas credenciales no fueron robadas del entorno de la víctima», dijo Carmakal.

Las credenciales probablemente fueron robadas de otro entorno de nube, un subcontratista de procesos comerciales, un socio o la computadora personal de un ingeniero, agregó.

Aqua dijo que Sygnia, que está investigando el ataque y ayudando en los esfuerzos de remediación, identificó el domingo actividad sospechosa adicional que involucra cambios no autorizados y cambios en el repositorio, actividad que es consistente con el comportamiento observado previamente del atacante.

«Este desarrollo sugiere que el incidente es parte de un ataque continuo y en evolución, en el que el actor de la amenaza restablece el acceso. Nuestra investigación se centra activamente en validar que todas las rutas de acceso hayan sido identificadas y completamente cerradas», dijo la compañía.

Aqua, en su última actualización del martes, dijo que continúa revocando y rotando credenciales en todos los entornos y afirmó que todavía no hay indicios de que sus productos comerciales se vean afectados.

Actualmente, muchos atacantes están utilizando el acceso como arma y probablemente apuntan a víctimas adicionales, cediendo a posibles intentos de extorsión y comprometiendo software adicional, dijo Carmakal.

«Va a ser un resultado diferente para muchas organizaciones diferentes», afirmó. «Este será un foco muy concentrado de los adversarios y su grupo de expansión de socios con los que están colaborando en este momento».

Los clientes de Cisco se han enfrentado a una avalancha de vulnerabilidades explotadas activamente que afectan el software de red del proveedor desde finales de febrero, y los investigadores dicen que cinco de las nueve vulnerabilidades que Cisco reveló en sus firewalls y sistemas SD-WAN durante las últimas tres semanas ya han sido explotadas en la naturaleza.

Los atacantes explotaron un par de estos defectos (vulnerabilidades de día cero en las SD-WAN de Cisco) durante al menos tres años antes de que el proveedor y las autoridades descubrieran y emitieran advertencias sobre la amenaza. Cisco reveló un cinco vulnerabilidades SD-WAN adicionales ese mismo día, y desde entonces se ha confirmado que tres de esos defectos también se explotan activamente.

Las debilidades que acechan en los productos de seguridad de Cisco no terminan ahí. Amazon Threat Intelligence dijo el miércoles que uno de los dos defectos de gravedad máxima que Cisco informó en su software de gestión de firewall a principios de este mes se había solucionado activamente. explotado por el ransomware Interlock desde el 26 de enero, más de un mes antes de que esas vulnerabilidades se revelaran públicamente.

Algunas organizaciones, funcionarios y miembros de la comunidad de seguridad en general han pasado por alto riesgos cada vez mayores a medida que se atacan más defectos. La avalancha de vulnerabilidades de Cisco SD-WAN y firewall incluye defectos con bajas calificaciones CVSS, días cero y otros que se determinó que fueron explotados activamente después de la divulgación.

«Estos no son errores aleatorios en software de bajo valor. Se trata de debilidades en el plano de gestión y en el plano de control en dispositivos en el borde de la red, que a menudo funcionan como anclajes de confianza en entornos empresariales», dijo a CyberScoop Douglas McKee, director de inteligencia de vulnerabilidades de Rapid7.

«Si compromete la SD-WAN o la gestión del firewall, se verá afectado por políticas, visibilidad, enrutamiento, segmentación y, en muchos casos, confianza administrativa en una gran parte del entorno», añadió. «Los atacantes lo saben y, cuando encuentran una ruta de autorización previa a esos sistemas, especialmente una que pueda encadenarse a la raíz, es lo más atractivo posible».

La lista completa de vulnerabilidades de Cisco reveladas recientemente que afectan a estos sistemas incluye:

Investigadores de varias empresas y de Cisco han observado o han sido notificados sobre la explotación activa de CVE-2026-20127, CVE-2022-20775, CVE-2026-20122, CVE-2026-20128 y CVE-2026-20131.

La Agencia de Seguridad de Infraestructura y Ciberseguridad solo ha agregado dos de los defectos (CVE-2022-20775 y CVE-2026-20127) a su catálogo de vulnerabilidades explotadas conocidas hasta el momento. La agencia, que la semana pasada agregó nuevos requisitos de caza y presentación de informes a un directiva de emergencia publicó sobre los defectos a finales de febrero, no respondió preguntas sobre el pedido actualizado ni explicó por qué otras vulnerabilidades de Cisco explotadas activamente no se han agregado al catálogo. La agencia ha estado operando bajo un cierre de financiación desde febrero.

El ransomware Interlock ataca los firewalls de Cisco

La campaña de ransomware en curso que Amazon Threat Intelligence detectó que involucraba a CVE-2026-20131 confirmó que «Interlock tenía un día cero en sus manos, lo que les daba una semana de ventaja para comprometer organizaciones antes de que los defensores supieran siquiera mirar», dijeron los investigadores el miércoles.

La ruta de ataque y las operaciones observadas de Interlock son extensas e incluyen scripts de reconocimiento posteriores al compromiso, troyanos de acceso remoto personalizados, un webshell y abuso de herramientas legítimas. Amazon no identificó víctimas específicas y dijo que el grupo amenaza a las organizaciones con cifrado de datos, multas regulatorias y valoraciones de cumplimiento.

«Históricamente, Interlock se ha dirigido a sectores específicos donde la interrupción operativa crea la máxima presión para el pago», dijeron los investigadores de Amazon Threat Intelligence en la publicación del blog. Estos sectores incluyen educación, ingeniería, arquitectura, construcción, manufactura, industria, atención médica y entidades gubernamentales.

4 defectos de Cisco SD-WAN bajo ataque

El enjambre de vulnerabilidades en las SD-WAN de Cisco plantea un riesgo adicional para los clientes. Cisco Talos atribuyó anteriormente ataques de larga duración que involucraron CVE-2026-20127 y CVE-2022-20775 a UAT-8616, pero no está claro si el mismo grupo de amenazas es responsable de todos los exploits de Cisco SD-WAN.

«Es probable que otros grupos de amenazas retomen la investigación pública para convertirla en un arma o adaptarla de manera oportunista, por lo que es posible que veamos intentos de seguimiento por parte de actores de amenazas adicionales, incluidos atacantes poco calificados», Caitlin Condon, vicepresidenta de investigación de seguridad de VulnCheckdijo a CyberScoop.

Los investigadores dijeron que las vulnerabilidades a menudo se revelan en grupos después de que se identifica un defecto significativo en un producto específico, como los sistemas SD-WAN de Cisco.

Cisco se negó a responder preguntas y dijo que los clientes pueden encontrar la información más reciente sobre su seguridad. página de avisos.

Condon y McKee señalaron que Cisco ha respondido al lanzamiento de correcciones de software, inteligencia de búsqueda de amenazas y, en el caso de los días cero de SD-WAN, orientación gubernamental coordinada.

“Así es como se supone que debe ser una buena respuesta a la crisis una vez que se identifica la explotación”, dijo McKee.

«La pregunta más difícil es si la industria está obteniendo visibilidad lo suficientemente temprana de los defectos del software de gestión de borde que los actores sofisticados están claramente priorizando», añadió. «¿Están nuestras organizaciones equipadas con las personas y las herramientas adecuadas para realizar este nivel de gestión de exposición?»

Las crecientes vulnerabilidades que los clientes de Cisco están combatiendo en firewalls y SD-WAN son un recordatorio de que las organizaciones no deberían despriorizar las vulnerabilidades menos notorias o aquellas con puntuaciones CVSS más bajas, dijo Condon.

«Varias de las vulnerabilidades explotadas en este tramo de errores de Cisco SD-WAN no tienen puntuaciones CVSS críticas, lo que significa que los equipos que utilizan CVSS como mecanismo de priorización podrían pasar por alto fallas de puntuación media o alta que aún tienen utilidad para el adversario en el mundo real», añadió.

Los ataques también reflejan colectivamente un patrón persistente de atacantes que apuntan a sistemas de borde de red de múltiples proveedores, incluido Cisco.

“Los atacantes continúan tratando el borde de la red y la infraestructura de administración como bienes inmuebles de primera calidad, y cuando los defensores ven fallas en el plano de administración y autenticación previa con evidencia de explotación previa a la divulgación, deben asumir un compromiso, no solo una exposición”, dijo McKee.

«Los atacantes están invirtiendo tiempo y capacidad para encontrar y poner en funcionamiento defectos previamente desconocidos en el borde y la infraestructura de gestión de Cisco porque la recompensa es enorme», añadió. «Estas plataformas le brindan una posición privilegiada, amplia visibilidad y un camino hacia el acceso duradero dentro de organizaciones de alto valor. Es exactamente por eso que siguen siendo atacadas».

El auge de los MCP en la empresa

El Protocolo de contexto modelo (MCP) se está convirtiendo rápidamente en una forma práctica de impulsar a los LLM del «chat» al trabajo real. Al proporcionar acceso estructurado a aplicaciones, API y datos, MCP habilita agentes de IA impulsados ​​por avisos que pueden recuperar información, tomar medidas y automatizar los flujos de trabajo comerciales de un extremo a otro en toda la empresa. Esto ya se está manifestando en producción a través de asistentes horizontales y agentes verticales personalizados. como Microsoft Copilot, ServiceNow, Zendesk bots y Salesforce Agentforce, con agentes personalizados y verticales moviéndose rápidamente detrás de ellos. Esto se hace eco de la reciente Gartner “Guía de Mercado para Agentes Tutores” informedonde los analistas señalan que la rápida adopción empresarial de estos agentes de IA está superando significativamente la madurez de los controles de gobernanza y políticas necesarios para gestionarlos.

Creemos que la principal desconexión es que estos “colegas” de IA no parecen humanos.

• No se unen ni salen a través de RR.HH.
• No envían solicitudes de acceso.
• No retiran cuentas cuando finalizan los proyectos.

A menudo son invisibles para la IAM tradicional y así es como se convierten en materia oscura de identidad: riesgo de identidad real fuera del tejido de gobernanza. Y los sistemas agentes no sólo utilizan el acceso, sino que buscan el camino de menor resistencia. Están optimizados para terminar el trabajo con una fricción mínima: menos aprobaciones, menos indicaciones, menos bloqueadores. En términos de identidad, eso significa que gravitarán hacia cualquier cosa que ya funcione, cuentas locales en la aplicación, identidades de servicio obsoletas, tokens de larga duración, claves API, omitir rutas de autenticación y, si funciona, se reutilizará.

Equipo8 Encuesta de aldeas CISO 2025 encontró:

• Cerca de El 70% de las empresas ya utilizan agentes de IA (cualquier sistema que pueda responder y actuar) en producción..
• Otro El 23% está planeando implementaciones en 2026..
• dos tercios los están construyendo internamente.

La adopción de MCP no es una cuestión de si; es una cuestión de qué tan rápido y sabiamente. Ya está aquí y sólo se está acelerando. Para complicar aún más esto, está la realidad de los entornos híbridos. Según la investigación de Gartner, parece que las organizaciones enfrentan obstáculos importantes en la gestión de estas identidades no humanas porque los controles de la plataforma nativa y las salvaguardas de los proveedores generalmente no se extienden más allá de los límites de su propia nube o plataforma. Sin un mecanismo de supervisión independiente, las interacciones de los agentes entre nubes permanecen completamente sin control. La verdadera pregunta es si sus agentes de IA se convierten en compañeros de equipo confiables o identidad no gestionada materia oscura?

​​

Cómo el agente-IA abusa de la identidad de la materia oscura

Como agentes autónomos de IA que pueden planificar y ejecutar tareas de varios pasos con una mínima intervención humana, el agente AI es un asistente poderoso pero también un riesgo cibernético importante. Curiosamente, los principales analistas de la industria parecen esperar que la gran mayoría de las acciones de agentes no autorizados se deriven de violaciones de las políticas internas de la empresa, como un comportamiento equivocado de la IA o un intercambio excesivo de información, en lugar de ataques externos maliciosos.

El patrón de abuso típico que vemos es similar, impulsado por la automatización de agentes y la búsqueda de atajos:

• Enumere lo que existe: el agente rastrea aplicaciones e integraciones, enumera usuarios/tokens y descubre rutas de autenticación «alternativas».
• Pruebe primero lo que es fácil: cuentas locales, créditos heredados, tokens de larga duración, cualquier cosa que evite una nueva aprobación.
• Bloquee el acceso «suficientemente bueno»: incluso los privilegios bajos son suficientes para pivotar: leer archivos de configuración, extraer registros, descubrir secretos, mapear la estructura de la organización.
• Actualice silenciosamente: encuentre tokens con un alcance excesivo, derechos obsoletos o identidades inactivas pero privilegiadas y escale con el mínimo ruido.
• Operar a la velocidad de la máquina: miles de pequeñas acciones ocurren en muchos sistemas, demasiado rápidas y demasiado amplias para que los humanos las detecten temprano.

El verdadero riesgo aquí es la escala del impacto: una identidad descuidada se convierte en un atajo reutilizable en todo el patrimonio.

Los riesgos de la materia oscura

Además de abusar de la materia oscura de identidad, si no se controla, los agentes MCP (agentes de IA que utilizan el protocolo MCP para conectarse a aplicaciones, A2A, API y fuentes de datos) introducen sus propias exposiciones ocultas. Orchid descubre estas exposiciones todos los días:

• Acceso con permisos excesivos: los agentes obtienen el «modo dios» para no fallar, y luego ese privilegio se convierte en el estado operativo predeterminado.
• Uso sin seguimiento: los agentes pueden ejecutar flujos de trabajo confidenciales a través de herramientas donde los registros son parciales, inconsistentes o no están correlacionados con un patrocinador.
• Credenciales estáticas: los tokens codificados no sólo «viven para siempre», sino que se convierten en infraestructura compartida entre agentes, canalizaciones y entornos.
• Puntos ciegos regulatorios: los auditores preguntan: «¿quién aprobó el acceso, quién lo utilizó y qué datos se tocaron?». La materia oscura hace que esas respuestas sean lentas o imposibles.
• Desviación de privilegios: los agentes acumulan acceso con el tiempo porque eliminar permisos da más miedo que otorgarlos, hasta que un atacante hereda la deriva.

Creemos que abordar estos puntos ciegos se alinea con la observación de Gartner de que la gobernanza moderna de la IA requiere que la gestión de identidades y acceso converja estrechamente con la gobernanza de la información. Esto garantiza que las organizaciones puedan clasificar dinámicamente la confidencialidad de los datos y monitorear el comportamiento de los agentes en tiempo real en lugar de depender únicamente de credenciales estáticas.

Los agentes de IA no son sólo usuarios sin credenciales. ellos son materia oscura identidades: poderosas, invisibles y fuera del alcance del IAM actual. Y la parte incómoda: incluso los agentes bien intencionados explotarán la materia oscura. No entienden su organigrama ni su intención de gobierno; entienden lo que funciona. si un cuenta huérfana o un token con alcance excesivo es el camino más rápido hacia su finalización, se convierte en la opción «eficiente».

Principios para la adopción segura de MCP

Para evitar repetir los errores del pasado (con cuentas huérfanas o con demasiados privilegios, TI en la sombra, claves no administradas y actividad invisible), las organizaciones deben adaptarse y aplicar principios de identidad básicos a los agentes de IA. Gartner introdujo el concepto de sistemas «guardianes» especializados, soluciones de IA de supervisión que evalúan, monitorean y hacen cumplir continuamente los límites de los agentes que trabajan.

Recomendamos que las organizaciones sigan cinco principios básicos al implementar soluciones agentes basadas en MCP.

1. Emparejar agentes de IA con patrocinadores humanos: Cada agente debe estar vinculado a un operador humano responsable. Si el humano cambia de rol o se va, el acceso del agente debería cambiar con él. Estamos de acuerdo con Gartner en la necesidad de mapear la propiedad, asegurando que se rastree el linaje completo desde la creación hasta la implementación, tanto en la máquina como en su propietario humano.
2. Acceso dinámico y contextual: Los agentes de IA no deberían tener privilegios permanentes y permanentes. Sus derechos deben tener un límite de tiempo, estar conscientes de la sesión y limitarse al privilegio mínimo.
3. Visibilidad y Auditabilidad: Gartner ha estado pidiendo cada vez más a las organizaciones que mantengan un catálogo centralizado de agentes de IA que haga un inventario de todos los agentes oficiales, en la sombra y de terceros, junto con una gestión integral de la postura y pistas de auditoría a prueba de manipulaciones. En nuestra opinión, cada acción que realiza un agente de IA debe registrarse, correlacionarse con su patrocinador humano y estar disponible para su revisión. Esto garantiza la responsabilidad y prepara a las organizaciones para futuros controles de cumplimiento. La visibilidad no es sólo «lo registramos». Es necesario vincular las acciones con el alcance de los datos: a qué accedió el agente, qué cambió, qué exportó y si esa acción tocó conjuntos de datos regulados o confidenciales. De lo contrario, no se podrá distinguir la “automatización útil” del “movimiento silencioso de datos”.
4. Gobernanza a escala empresarial: La adopción de MCP debe extenderse a sistemas nuevos y heredados dentro de un tejido de gobernanza único y consistente, de modo que los equipos de seguridad, cumplimiento e infraestructura no trabajen en silos. Aquí también es donde Gartner enfatiza la importancia de una capa de supervisión de propiedad empresarial, que garantice controles consistentes y reduzca el riesgo de dependencia de un proveedor a medida que se expande la adopción de MCP.
5. Compromiso con una buena higiene IAM: Como ocurre con todas las identidades, los flujos de autenticación, los permisos de autorización y los controles implementados, una fuerte higiene (tanto en el servidor de aplicaciones como en el servidor MCP) es fundamental para mantener a cada usuario dentro de los límites adecuados.

El panorama más amplio

Los agentes de IA plantean un desafío único que va más allá de la mera integración. Representan un cambio en la forma en que se delega y ejecuta el trabajo dentro de las empresas. Si no se administran, seguirán la misma trayectoria que otras identidades ocultas: cuentas locales en la aplicación, identidades de servicios obsoletas, tokens de larga duración, claves API y rutas de autenticación de omisión que se han convertido en materia oscura de identidad con el tiempo. Y debido a que los agentes impulsados ​​por LLM están optimizados para lograr eficiencia, menor fricción y menos pasos, naturalmente gravitarán hacia esas identidades no gobernadas como el camino más rápido hacia el éxito. Si un administrador local huérfano o un token con un alcance excesivo «simplemente funciona», el agente lo usará y lo reutilizará.

La oportunidad es adelantarse a esta curva.

Al tratar a los agentes de IA como identidades de primera clase desde el primer día (descubribles, gobernables y auditables), las organizaciones pueden aprovechar su potencial sin crear puntos ciegos.

Las empresas que hagan esto no sólo reducirán su superficie de ataque inmediata sino que también se posicionarán para las expectativas regulatorias y operativas que seguramente seguirán.

En la práctica, la mayoría de los incidentes de Agent-AI no comenzarán con un día cero. Comenzarán con un atajo de identidad que alguien olvidó limpiar y luego se amplificarán mediante la automatización hasta que parezca una infracción sistémica.

La conclusión

Los agentes de IA están aquí. Ya están cambiando la forma en que operan las empresas.

El desafío no es si utilizarlos, sino cómo gobernarlos.

La adopción segura de MCP requiere aplicar los mismos principios que los profesionales de la identidad conocen bien (privilegio mínimo, gestión del ciclo de vida y auditabilidad) a una nueva clase de identidades no humanas que siguen este protocolo.

Si la materia oscura de la identidad es la suma de lo que no podemos ver ni controlar, entonces los agentes de IA no administrados pueden convertirse en su fuente de más rápido crecimiento. Las organizaciones que actúen ahora para sacarlos a la luz serán las que puedan avanzar rápidamente con la IA sin sacrificar la confianza, el cumplimiento o la seguridad. Es por eso Seguridad de orquídeas está construyendo una infraestructura de identidad para eliminar la materia oscura y hacer que la adopción de Agent AI sea segura para implementar a escala empresarial.