{"id":1363,"date":"2026-06-30T15:18:51","date_gmt":"2026-06-30T15:18:51","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/guardfall-expone-agentes-de-codificacion-de-ia-de-codigo-abierto-a-riesgos-de-inyeccion-de-shell-de-decadas-de-antiguedad-cyberdefensa-mx\/"},"modified":"2026-06-30T15:18:51","modified_gmt":"2026-06-30T15:18:51","slug":"guardfall-expone-agentes-de-codificacion-de-ia-de-codigo-abierto-a-riesgos-de-inyeccion-de-shell-de-decadas-de-antiguedad-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/guardfall-expone-agentes-de-codificacion-de-ia-de-codigo-abierto-a-riesgos-de-inyeccion-de-shell-de-decadas-de-antiguedad-cyberdefensa-mx\/","title":{"rendered":"GuardFall expone agentes de codificaci\u00f3n de IA de c\u00f3digo abierto a riesgos de inyecci\u00f3n de shell de d\u00e9cadas de antig\u00fcedad \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>El control de seguridad que se supone debe impedir que un agente de codificaci\u00f3n de IA ejecute un comando peligroso se puede pasar directamente utilizando un truco de shell que ha sido p\u00fablico durante d\u00e9cadas.<\/p>\n<p>Nueva investigaci\u00f3n de <a href=\"https:\/\/adversa.ai\/blog\/opensource-ai-coding-agents-shell-injection-vulnerability\/\">IA adversa<\/a>que se denomina bypass <b>ca\u00edda de guardia<\/b>descubri\u00f3 que funciona contra diez de los once agentes populares de codificaci\u00f3n y uso de computadoras de c\u00f3digo abierto que la empresa prob\u00f3. S\u00f3lo uno, \u00abContinuar\u00bb, fue construido para defenderse de ello.<\/p>\n<p>\u00bfPor qu\u00e9 importa? Estos agentes ejecutan comandos de shell con acceso completo a su cuenta. Apunte uno a un repositorio o paquete de software con trampa explosiva, y una instrucci\u00f3n oculta puede ejecutar silenciosamente un comando que borra archivos o roba los secretos a los que puede acceder su cuenta, desde claves SSH y credenciales de la nube hasta cualquier cosa que se encuentre en su carpeta de inicio.<\/p>\n<h2>\u00bfC\u00f3mo pasa la guardia?<\/h2>\n<p>La mayor\u00eda de estos agentes intentan mantenerse seguros comparando cada comando con una lista de bloqueo de patrones peligrosos antes de ejecutarlo. El defecto es que verifican el comando como texto sin formato, mientras que bash reescribe ese texto antes de ejecutarlo. El shell elimina las comillas y expande los atajos, por lo que el filtro y el shell terminan mirando dos cosas diferentes.<\/p>\n<p>El ejemplo m\u00e1s sencillo: un filtro que vigila<b> habitaci\u00f3n<\/b> no ve nada malo en r\u00bbm, porque para un comparador de texto esas son cadenas diferentes. Bash elimina las comillas vac\u00edas y ejecuta rm de todos modos.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La misma idea funciona en otras formas: un comando oculto en base64 y canalizado a un shell, o herramientas ordinarias como find y dd se vuelven destructivas con la bandera correcta.<\/p>\n<p>Los investigadores no llaman a esto un error sino \u00abuna convenci\u00f3n peligrosa y una clase de problemas\u00bb, raz\u00f3n por la cual agregar m\u00e1s patrones de lista de bloqueo no soluciona nada de esto. No existe un \u00fanico CVE para rastrear o parchar.<\/p>\n<p>Dos cosas tienen que alinearse para que un ataque aterrice, y ninguna es ex\u00f3tica.<\/p>\n<ul>\n<li>Primero, la IA tiene que producir el comando malicioso. Generalmente se rechaza un contundente \u00abejecutar rm -rf\u00bb, pero el mismo comando escondido dentro de un trabajo de apariencia normal, como un archivo de compilaci\u00f3n o la respuesta de \u00abdocumentaci\u00f3n\u00bb de una herramienta, se emite como un paso de rutina.<\/li>\n<li>En segundo lugar, el agente debe ejecutarse por s\u00ed solo, con un indicador de ejecuci\u00f3n autom\u00e1tica activado o su entorno de pruebas de contenedor desactivado, los cuales son rutinarios en las canalizaciones automatizadas. Las pruebas en vivo utilizaron Claude Sonnet 4.6.<\/li>\n<\/ul>\n<p>Las otras diez herramientas dejaron la brecha abierta: opencode, Goose, Cline, Roo-Code, Aider, Plandex, Open Interpreter, OpenHands, SWE-agent y el proyecto Hermes, donde surgi\u00f3 el error por primera vez y ahora <a href=\"https:\/\/github.com\/NousResearch\/hermes-agent\/issues\/36846\">documentado en el propio rastreador de problemas de Hermes<\/a>.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgxKbwe1AcFw6GjaTYiNBur5CuuqXoMqeg7cn43vkCXZSvSRuohyeNi0pPxtBemtRq-RkAIOp4sh7XcodvHTRVrIb6_y7unb7Ru1Y1GohyK9vtbilZdTwlPUJCLh235Yf0yOXhMhIi0dwOgeLdicWYLnEujWiMBFfLS1Bdsh9QWiOBbrQdK7J5MqYoMToQ\/s1700-e365\/coding-agent.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgxKbwe1AcFw6GjaTYiNBur5CuuqXoMqeg7cn43vkCXZSvSRuohyeNi0pPxtBemtRq-RkAIOp4sh7XcodvHTRVrIb6_y7unb7Ru1Y1GohyK9vtbilZdTwlPUJCLh235Yf0yOXhMhIi0dwOgeLdicWYLnEujWiMBFfLS1Bdsh9QWiOBbrQdK7J5MqYoMToQ\/s1700-e365\/coding-agent.png\" alt=\"\" border=\"0\" data-original-height=\"1322\" data-original-width=\"1680\"\/><\/a><\/div>\n<p>Las herramientas de la encuesta de Adversa ten\u00edan en conjunto aproximadamente 548.000 estrellas de GitHub en mayo de 2026. Adversa demostr\u00f3 el ataque completo de extremo a extremo contra el binario de producci\u00f3n Plandex, y la misma forma funcion\u00f3 contra otros ocho. Describe el trabajo como investigaci\u00f3n de laboratorio; no se ha informado de explotaci\u00f3n p\u00fablica.<\/p>\n<p>Contin\u00fae, el \u00fanico agente que se resiste, se defiende leyendo el comando como lo har\u00e1 bash antes de decidir: divide el comando en las mismas partes que lo har\u00eda el shell, verifica lo que realmente se ejecuta y mantiene una lista estricta de comandos destructivos que est\u00e1n bloqueados por completo.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Esa protecci\u00f3n se mantuvo contra cada carga \u00fatil en el modo de editor predeterminado de Continuar. Su modo de ejecuci\u00f3n autom\u00e1tica de l\u00ednea de comandos es m\u00e1s d\u00e9bil: algunas cargas \u00fatiles se escaparon, aunque las m\u00e1s destructivas a\u00fan alcanzaron el bloque duro. Adversa considera que el dise\u00f1o es port\u00e1til y dice que volver a implementarlo requiere aproximadamente un trabajo de dos d\u00edas para un ingeniero experimentado.<\/p>\n<h2>Que hacer ahora<\/h2>\n<p>Ninguna de las soluciones r\u00e1pidas es una respuesta completa, pero reducen su exposici\u00f3n hasta que se implemente la protecci\u00f3n adecuada:<\/p>\n<ul>\n<li>Ejecute agentes con $HOME apuntando a una carpeta desechable, de modo que secretos como ~\/.ssh y ~\/.aws est\u00e9n fuera de su alcance.<\/li>\n<li>Desactive los indicadores de ejecuci\u00f3n autom\u00e1tica como \u2013auto-exec, \u2013auto-run, \u2013auto-test y permisos de omisi\u00f3n peligrosa a menos que el trabajo realmente no pueda pausarse para un humano.<\/li>\n<li>No permita que los agentes ejecuten solicitudes de extracci\u00f3n desde bifurcaciones, el camino f\u00e1cil desde el archivo de un atacante hasta sus secretos.<\/li>\n<li>Trate los archivos de configuraci\u00f3n enviados dentro de un repositorio, como .aider.conf.yml, como c\u00f3digo que no es de confianza; uno malicioso puede desencadenar el ataque en la primera edici\u00f3n aceptada.<\/li>\n<\/ul>\n<p>GuardFall aterriza en medio de una serie de hallazgos similares este a\u00f1o. El propio adversario <a href=\"https:\/\/adversa.ai\/blog\/trustfall-coding-agent-security-flaw-rce-claude-cursor-gemini-cli-copilot\/\">ConfianzaCa\u00edda<\/a> presione Claude Code, Cursor, Gemini CLI y Copilot CLI, y un separado <a href=\"https:\/\/adversa.ai\/blog\/claude-code-security-bypass-deny-rules-disabled\/\">omisi\u00f3n de regla de denegaci\u00f3n<\/a> Pulsa Claude Code.<\/p>\n<p>Ataques como AutoJack y Agentjacking convirtieron contenido envenenado en comandos que un agente ejecuta con los privilegios de su propietario. El hilo com\u00fan es simple: el texto que no es de confianza sigue llegando a un shell real antes de que el guardia entienda qu\u00e9 se ejecutar\u00e1 realmente bash.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>El control de seguridad que se supone debe impedir que un agente de codificaci\u00f3n de IA ejecute un comando peligroso se puede pasar directamente utilizando un truco de shell que ha sido p\u00fablico durante d\u00e9cadas. Nueva investigaci\u00f3n de IA adversaque se denomina bypass ca\u00edda de guardiadescubri\u00f3 que funciona contra diez de los once agentes populares [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[377,269,3425,3423,376,24,3424,651,3422,626,536,235],"class_list":["post-1363","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-abierto","tag-agentes","tag-antiguedad","tag-codificacion","tag-codigo","tag-cyberdefensa-mx","tag-decadas","tag-expone","tag-guardfall","tag-inyeccion","tag-riesgos","tag-shell"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1363","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1363"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1363\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1363"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1363"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1363"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}