{"id":1658,"date":"2026-07-21T16:51:00","date_gmt":"2026-07-21T16:51:00","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/21\/los-agentes-de-inteligencia-artificial-de-android-de-codigo-abierto-podrian-permitir-que-el-texto-de-la-pantalla-invisible-ejecute-codigo-en-las-pc-host\/"},"modified":"2026-07-21T16:51:00","modified_gmt":"2026-07-21T16:51:00","slug":"los-agentes-de-inteligencia-artificial-de-android-de-codigo-abierto-podrian-permitir-que-el-texto-de-la-pantalla-invisible-ejecute-codigo-en-las-pc-host","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/21\/los-agentes-de-inteligencia-artificial-de-android-de-codigo-abierto-podrian-permitir-que-el-texto-de-la-pantalla-invisible-ejecute-codigo-en-las-pc-host\/","title":{"rendered":"Los agentes de inteligencia artificial de Android de c\u00f3digo abierto podr\u00edan permitir que el texto de la pantalla invisible ejecute c\u00f3digo en las PC host"},"content":{"rendered":"
\n

Una aplicaci\u00f3n de Android que puede dibujar sobre otras ventanas y escribir en un almacenamiento compartido puede enviar instrucciones al agente de inteligencia artificial que maneja ese tel\u00e9fono, en un texto que ning\u00fan ojo humano ver\u00e1 jam\u00e1s. Dos pasos m\u00e1s y la misma aplicaci\u00f3n ejecutar\u00e1 comandos en la PC que controla al agente.<\/p>\n

Los investigadores demostraron esa cadena, adem\u00e1s de otros seis ataques, contra cinco marcos de agentes m\u00f3viles de c\u00f3digo abierto: AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM y MobA. Todos cayeron al menos a seis de los siete.<\/p>\n

El papel subi\u00f3 en arXiv<\/a> el 1 de julio y fue revisado el 14 de julio. Los autores est\u00e1n en la Universidad Simon Fraser, la Universidad China de Hong Kong, la Universidad de Shandong y el Laboratorio Xingtu de la empresa de seguridad china QAX.<\/p>\n

Nada aqu\u00ed tiene un CVE, y el primer autor Zidong Zhang dijo Las noticias de los piratas inform\u00e1ticos<\/strong> el equipo no tiene evidencia de que las t\u00e9cnicas se hayan utilizado fuera de un entorno controlado. Hacker News revis\u00f3 los cinco marcos y encontr\u00f3 las rutas de captura de pantalla, la llamada de shell y el respaldo de transmisi\u00f3n que el peri\u00f3dico describe todav\u00eda en sus ramas principales a partir del 17 de julio.<\/p>\n

Zhang dijo que el equipo envi\u00f3 un correo electr\u00f3nico privado a los mantenedores afectados antes de publicar la preimpresi\u00f3n y \u00abno ha recibido respuesta hasta la fecha\u00bb.<\/p>\n

La escalada es la parte menos ex\u00f3tica. AppAgent’s controlador<\/a> ejecuta subprocess.run(adb_command, shell=True) y crea entradas de texto colocando la salida del modelo directamente en el texto de entrada del shell adb {input_str}. La lista del peri\u00f3dico muestra que la funci\u00f3n no tiene ning\u00fan tipo de desinfecci\u00f3n.<\/p>\n

El c\u00f3digo en vivo funciona marginalmente mejor y no es suficiente: elimina espacios y comillas simples antes de interpolar, y deja el resto de los metacaracteres del shell en paz. No;, no &, no >. Entonces, una cadena que el modelo lee en una pantalla y escribe diligentemente es dividida por el shell del host, y la mitad posterior se ejecuta en el cuadro de Windows del operador.<\/p>\n

Una carga \u00fatil dise\u00f1ada para iniciar calc.exe hizo exactamente eso en 20 de 20 pruebas contra AppAgent, AppAgentX, Mobile-Agent-v3 y MobA. Una ejecuci\u00f3n separada de un extremo a otro contra AppAgent utiliz\u00f3 test;pwd>rce_success y escribi\u00f3 el directorio de trabajo del host en un archivo.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Poner esa cuerda delante del modelo es una carrera de archivos. Abrir-AutoGLM<\/a> ejecuta screencap -p \/sdcard\/tmp.png y luego un adb pull por separado. Agente-m\u00f3vil-v3<\/a> escribe en un \/sdcard\/screenshot.png fijo y duerme medio segundo entre los dos. AppAgentX<\/a> escribe en \/sdcard\/ con nombres de archivo con marca de tiempo que llevan un contador de pasos incremental, un patr\u00f3n que un atacante puede observar. AppAgent enviado configuraci\u00f3n.yaml<\/a> todav\u00eda tiene como valor predeterminado su directorio de captura de pantalla \/sdcard.<\/p>\n

Los investigadores calcularon esa brecha entre los marcos entre 50 y 500 ms, con un promedio de alrededor de 210 ms en 100 ejecuciones. Un servicio en segundo plano que sondea cada 5 a 10 ms tiene espacio para bloquear un archivo, volver a pintar el PNG y soltarlo antes de que el agente lo recopile. La manipulaci\u00f3n aterriz\u00f3 19\/20 a 20\/20 contra cuatro de los cinco.<\/p>\n

Para ampliar a\u00fan m\u00e1s la ventana, le mostraron al agente una superposici\u00f3n invisible que dec\u00eda que se estaba ejecutando una sincronizaci\u00f3n de red y le ped\u00edan que esperara tres segundos. La modelo lo crey\u00f3.<\/p>\n

Los seis modelos de visi\u00f3n que los investigadores probaron leyeron texto con una opacidad del 2% en al menos 18 de 20 ensayos de laboratorio. El documento sit\u00faa ese nivel por debajo de la detecci\u00f3n humana t\u00edpica bajo una visi\u00f3n normal. GPT-4o, Claude Opus 4.5, Gemini 3 Pro y GLM-4V obtuvieron 20 sobre 20. Los n\u00fameros no aumentan a medida que el texto se vuelve m\u00e1s visible, porque comienzan en el techo.<\/p>\n

\"\"<\/a><\/div>\n

AutoGLM-Phone, un modelo 9B que se ejecuta en el propio dispositivo, fue el m\u00e1s d\u00e9bil de los seis con 18 de 20. La visi\u00f3n humana aplica un umbral. La captura de pantalla no.<\/p>\n

La asimetr\u00eda tambi\u00e9n tiene una versi\u00f3n de hardware. Los tel\u00e9fonos redondean sus esquinas y hacen agujeros para las c\u00e1maras, pero el b\u00fafer de cuadros permanece rectangular, por lo que los p\u00edxeles representados en esas regiones se ubican debajo del bisel y aparecen en cada captura de pantalla. En un Pixel 4, eso deja alrededor de 78 p\u00edxeles de ancho oculto en una esquina, suficiente para un comando corto, y los cinco agentes leen cargas \u00fatiles.<\/p>\n

Un tercer truco evita por completo el sigilo: un servicio de accesibilidad coloca una actividad de inicio de sesi\u00f3n falsa sobre la aplicaci\u00f3n real y permite que el agente escriba las credenciales del usuario en ella. Una persona podr\u00eda dudar ante una solicitud de contrase\u00f1a inesperada. Ninguno de los cinco lo hizo en 100 ensayos.<\/p>\n

Nadie autentic\u00f3 el teclado.<\/h2>\n

Los agentes no tienen un canal autorizado para acceder a un tel\u00e9fono, por lo que reutilizan los de depuraci\u00f3n, y de ah\u00ed sale el ataque m\u00e1s barato del conjunto. Open-AutoGLM codifica en base64 el texto que escribe y lo dispara en ADB_INPUT_B64, una transmisi\u00f3n impl\u00edcita recogida por Teclado BAD<\/a>una herramienta de automatizaci\u00f3n de pruebas creada para aceptar texto de cualquier cosa que lo transmita.<\/p>\n

Ese es su prop\u00f3sito documentado, y a\u00fan se mantiene, con una Prelanzamiento de abril<\/a> lleva una soluci\u00f3n de Android 16. ADB Keyboard hace lo que promete su README. Los agentes son los que convirtieron un arn\u00e9s de prueba en una tuber\u00eda de entrada de producci\u00f3n.<\/p>\n

Mobile-Agent-v3 mantiene una lista de permitidos estrecha: las letras, los d\u00edgitos y la puntuaci\u00f3n com\u00fan van a trav\u00e9s del texto de entrada del shell adb, y todo lo dem\u00e1s, es decir, cualquier car\u00e1cter que no sea ASCII, sale un car\u00e1cter a la vez a trav\u00e9s de ADB_INPUT_TEXT. Moba<\/a> es m\u00e1s contundente. Su type_text prueba toda la cadena con text.isascii(), por lo que un emoji o una letra acentuada en cualquier parte de un mensaje env\u00eda el mensaje completo a trav\u00e9s de la transmisi\u00f3n en una sola toma.<\/p>\n

Cualquier aplicaci\u00f3n que registre la misma acci\u00f3n recibe la misma carga \u00fatil y no necesita permiso para hacerlo, por lo que nada advierte al usuario. Cuando un atacante tiene accesibilidad, TYPE_VIEW_TEXT_CHANGED entrega el mismo texto en texto plano, incluidos los campos de contrase\u00f1a, en los cinco.<\/p>\n

Las condiciones previas son reales. Esto requiere una aplicaci\u00f3n ya instalada, un agente en mitad de la tarea y la depuraci\u00f3n USB o inal\u00e1mbrica habilitada. El software afectado son herramientas de desarrollo de c\u00f3digo abierto, no el asistente integrado en un tel\u00e9fono est\u00e1ndar.<\/p>\n

Los agentes propios, incluidos Bixby de Samsung y XiaoAi de Xiaomi, estaban fuera de alcance, al igual que iOS. Zhang hizo una advertencia: varios de los ataques necesitan permisos m\u00ednimos de Android, y uno no necesita ninguno en absoluto, lo que, seg\u00fan \u00e9l, reduce la barrera para un atacante motivado.<\/p>\n

Una variante tampoco necesita ninguna aplicaci\u00f3n maliciosa. Debido a que una carga \u00fatil puede viajar en los canales de crominancia de una imagen en lugar de su brillo, un atacante que nunca toque el dispositivo podr\u00eda enterrar una en una imagen y dejar que el propio agente de la v\u00edctima la capture desde una aplicaci\u00f3n de mensajer\u00eda. Los investigadores lo llaman una extensi\u00f3n en lugar de un resultado medido. Tambi\u00e9n es la \u00fanica versi\u00f3n sin paso de instalaci\u00f3n.<\/p>\n

Correcciones, y una que no existe.<\/h2>\n

Dos de los cinco ya muestran c\u00f3mo es el derecho. MobA transmite capturas de pantalla a trav\u00e9s de salida ejecutiva y nunca tiene un archivo del lado del dispositivo para ejecutar. Open-AutoGLM pasa argumentos como listas en lugar de concatenar cadenas, y es el \u00fanico de los cinco inmune a la inyecci\u00f3n de comandos del host.<\/p>\n

Ning\u00fan proyecto acierta en ambos. Ninguna de las correcciones siguientes requiere tocar el modelo:<\/p>\n