{"id":1278,"date":"2026-06-23T17:44:55","date_gmt":"2026-06-23T17:44:55","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/la-habilidad-falsa-del-agente-de-ia-paso-los-analisis-de-seguridad-y-segun-se-informa-llego-a-26-000-agentes-cyberdefensa-mx\/"},"modified":"2026-06-23T17:44:55","modified_gmt":"2026-06-23T17:44:55","slug":"la-habilidad-falsa-del-agente-de-ia-paso-los-analisis-de-seguridad-y-segun-se-informa-llego-a-26-000-agentes-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/la-habilidad-falsa-del-agente-de-ia-paso-los-analisis-de-seguridad-y-segun-se-informa-llego-a-26-000-agentes-cyberdefensa-mx\/","title":{"rendered":"La habilidad falsa del agente de IA pas\u00f3 los an\u00e1lisis de seguridad y, seg\u00fan se informa, lleg\u00f3 a 26.000 agentes \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

La empresa de seguridad AIR cre\u00f3 una habilidad de agente de IA falsa, la impuls\u00f3 a trav\u00e9s de un mercado de habilidades popular y un anuncio de Instagram, y dice que lleg\u00f3 a aproximadamente 26.000 agentes, incluidos algunos en cuentas corporativas.<\/p>\n

Todos los esc\u00e1neres de seguridad con los que la empresa lo prob\u00f3 lo marcaron como seguro. La carga \u00fatil era inofensiva por dise\u00f1o: recopilaba la direcci\u00f3n de correo electr\u00f3nico del usuario y no hac\u00eda nada m\u00e1s.<\/p>\n

El objetivo era demostrar que ninguna de las se\u00f1ales en las que la gente se apoya para confiar en una habilidad la detecta: ni los esc\u00e1neres, ni las estrellas de GitHub, ni la reputaci\u00f3n del c\u00f3digo abierto.<\/p>\n

Una habilidad es un conjunto de instrucciones que un agente carga en su propio contexto y sigue aproximadamente con la autoridad de un mensaje de usuario. Esa confianza es todo el problema y, en primer lugar, es la raz\u00f3n por la que existen herramientas de exploraci\u00f3n de habilidades.<\/p>\n

La habilidad, llamada p\u00e1gina de inicio de marca<\/b>afirm\u00f3 haber creado una p\u00e1gina de destino utilizando la herramienta de dise\u00f1o Stitch de Google, dirigida directamente a usuarios no t\u00e9cnicos.<\/p>\n

Para que pareciera cre\u00edble, AIR busc\u00f3 dos se\u00f1ales de confianza: estrellas de GitHub y un veredicto limpio del esc\u00e1ner. Para las estrellas, abri\u00f3 una solicitud de extracci\u00f3n a un repositorio de mercado de habilidades con alrededor de 36.000 estrellas y 156 habilidades.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La solicitud de extracci\u00f3n se fusion\u00f3 despu\u00e9s de unos d\u00edas, por lo que la habilidad hered\u00f3 el recuento del repositorio. Luego public\u00f3 un anuncio en Instagram dirigido a especialistas en marketing, vendedores y dise\u00f1adores, quienes lo instalaron y lo pusieron a funcionar.<\/p>\n

\u00bfPor qu\u00e9 los esc\u00e1neres no lo detectaron?<\/h2>\n

Los esc\u00e1neres probados por AIR analizan el paquete que usted les entrega: el SKILL.md y los archivos enviados con \u00e9l. Eso es Cisco<\/a>, NVIDIA<\/a>y los que est\u00e1n conectados a skills.sh.<\/p>\n

La habilidad del AIRE<\/a> no llevaba instrucciones de configuraci\u00f3n propias. Le dijo al agente que instalara el \u00abStitch SDK\u00bb siguiendo la documentaci\u00f3n en un enlace externo, stitch-design.ai, un dominio que controla AIR, no Google (el Stitch real vive en stitch.withgoogle.com).<\/p>\n

Al principio, el enlace conduc\u00eda a los documentos originales de Stitch, por lo que los esc\u00e1neres, al ver un paquete limpio que apuntaba a una p\u00e1gina de configuraci\u00f3n plausible, lo borraron. La p\u00e1gina que el agente realmente buscar\u00eda y seguir\u00eda estaba fuera del escaneo.<\/p>\n

\"\"<\/a><\/div>\n

Una vez que la habilidad se instal\u00f3 ampliamente, AIR cambi\u00f3 la p\u00e1gina detr\u00e1s de ese enlace. La nueva versi\u00f3n le indic\u00f3 al agente que descargara y ejecutara un script.<\/p>\n

En la demostraci\u00f3n, solo envi\u00f3 por correo la direcci\u00f3n del usuario a AIR, que es como la empresa cont\u00f3 los agentes a los que contact\u00f3. Un operador real podr\u00eda haber utilizado ese punto de apoyo para leer archivos, mover datos o acceder a sistemas internos, limitado \u00fanicamente por lo que el agente pod\u00eda alcanzar.<\/p>\n

AIR no es el primero en demostrar esto. Tres semanas antes, Rastro de bits<\/a> evit\u00f3 el detector de habilidades maliciosas de ClawHub, el esc\u00e1ner de Cisco y los tres esc\u00e1neres conectados a skills.sh. Su conclusi\u00f3n fue contundente: un esc\u00e1ner verifica un paquete arreglado, mientras que un atacante puede seguir modificando la carga \u00fatil hasta que pase.<\/p>\n

Las campa\u00f1as reales han utilizado el mismo truco durante meses, manteniendo limpia la habilidad enviada y alojando la carga \u00fatil en un sitio que el agente solo recupera durante la instalaci\u00f3n.<\/p>\n

\"\"<\/a><\/div>\n

El problema es estructural: el escaneo se realiza una vez, pero la p\u00e1gina a la que apunta una habilidad al agente se puede reescribir en cualquier momento posterior. propio del antr\u00f3pico documentos<\/a> Ya advertimos que las habilidades que obtienen URL externas son riesgosas exactamente por esta raz\u00f3n, ya que el contenido puede cambiar despu\u00e9s de que se examina la habilidad.<\/p>\n

Separado investigaci\u00f3n este a\u00f1o<\/a> Los esc\u00e1neres encontrados a menudo no est\u00e1n de acuerdo, porque cada uno juzga una habilidad de forma aislada, ciegos a sus v\u00ednculos externos y a los cambios despu\u00e9s de la revisi\u00f3n.<\/p>\n

que hacer<\/h2>\n

La lectura para los defensores es la misma en la que siguen aterrizando los investigadores, ahora con un ejemplo m\u00e1s n\u00edtido detr\u00e1s. Trate las habilidades como software, no como texto. Examina a qu\u00e9 apunta una habilidad, no solo qu\u00e9 se incluye en su interior.<\/p>\n

La mayor\u00eda de estos complementos se instalaron sin revisi\u00f3n, por lo que el primer trabajo es encontrar lo que ya se est\u00e1 ejecutando. Enrute nuevas habilidades a trav\u00e9s de una \u00fanica fuente que controle y vuelva a verificarlas cuando algo cambie, porque un resultado limpio en la instalaci\u00f3n no permanece limpio si la habilidad llama a un enlace que alguien m\u00e1s puede editar.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Versiones de pines. Mantenga a los agentes con el menor privilegio. Suponga que cualquier instrucci\u00f3n externa que un agente obtenga se ejecuta con el acceso del agente.<\/p>\n

Las cifras a escala provienen \u00fanicamente de AIR y merecen una lectura esc\u00e9ptica. La empresa est\u00e1 lanzando un mercado de habilidades gestionadas y cierra el art\u00edculo, present\u00e1ndolo, de modo que la cifra de 26.000, el detalle de la cuenta corporativa y la afirmaci\u00f3n de que podr\u00eda haber tomado el control total de cada agente son propiedad de la empresa y no est\u00e1n confirmadas de forma independiente.<\/p>\n

Lo que se sostiene es el m\u00e9todo. Los esc\u00e1neres nombrados realmente juzgan solo el paquete enviado, el punto ciego del enlace externo es real y se ha demostrado de forma independiente, y las se\u00f1ales de confianza que AIR tom\u00f3 prestadas, las estrellas y un escaneo limpio son exactamente las que el ecosistema todav\u00eda trata como prueba.<\/p>\n

El experimento no expone un nuevo error sino que alinea cada se\u00f1al de confianza d\u00e9bil en torno a las habilidades del agente en una sola ejecuci\u00f3n: estrellas que se pueden tomar prestadas, un escaneo que lee una instant\u00e1nea y un enlace que se puede reescribir despu\u00e9s de que se borre la verificaci\u00f3n.<\/p>\n

Ya sea que la cifra real sea 26.000 o una fracci\u00f3n de ella, la brecha que atraviesa es una que los defensores a\u00fan no han cerrado.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

La empresa de seguridad AIR cre\u00f3 una habilidad de agente de IA falsa, la impuls\u00f3 a trav\u00e9s de un mercado de habilidades popular y un anuncio de Instagram, y dice que lleg\u00f3 a aproximadamente 26.000 agentes, incluidos algunos en cuentas corporativas. Todos los esc\u00e1neres de seguridad con los que la empresa lo prob\u00f3 lo marcaron […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[397,269,1105,24,70,1488,3271,3272,3273,52,184,436,104],"class_list":["post-1278","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-agente","tag-agentes","tag-analisis","tag-cyberdefensa-mx","tag-del","tag-falsa","tag-habilidad","tag-informa","tag-llego","tag-los","tag-paso","tag-segun","tag-seguridad"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1278","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1278"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1278\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1278"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1278"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1278"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}