Por Canuto  

Una investigación identificó 120 archivos de documentación web que apuntaban a paquetes o dominios sin propietario, y demostró que agentes como Claude, Codex y Hermes podían convertir esas referencias en instalaciones ejecutables dentro de redes corporativas.
***

  • Investigadores escanearon 6.214 dominios y hallaron 120 archivos llms.txt o llms-full.txt con referencias a paquetes y dominios no registrados.
  • Una prueba de concepto recibió conexiones de una empresa Fortune 500 y de otras compañías después de que agentes de IA ejecutaran código.
  • El caso de clerk.com mostró que un comando npx llegó a apuntar hacia un paquete que alojaba malware activo, aunque el problema ya fue corregido.

Una investigación de seguridad encendió las alarmas sobre una superficie de ataque que crece junto con el uso empresarial de agentes de inteligencia artificial. Los archivos llms.txt y llms-full.txt, creados para resumir sitios web y orientar a sistemas de IA, contenían referencias a paquetes de software y dominios sin propietario que podían ser reclamados por terceros, según un reporte de Ars Technica.

El riesgo aparece cuando un agente capaz de ejecutar comandos de shell trata esa documentación como una fuente autoritativa de configuración. En lugar de limitarse a leer una recomendación, el sistema puede descargar e instalar el paquete indicado, incluso cuando el nombre no pertenece actualmente a la empresa que publicó el archivo y podría terminar alojando ransomware u otro código malicioso.

Una prueba dentro de redes corporativas

Investigadores de una startup israelí que opera en modo sigiloso escanearon 6.214 dominios activos vinculados con contratistas de defensa, compañías Fortune 500 y grandes empresas tecnológicas. En esos dominios localizaron 8.265 archivos llms.txt y llms-full.txt, muchos de ellos duplicados porque un mismo sitio mantenía ambas versiones de la documentación.

De ese conjunto, 120 archivos, cada uno alojado en un sitio diferente, apuntaban a uno o más paquetes de código o nombres de dominio que no estaban registrados. Los investigadores registraron algunos de esos nombres y publicaron paquetes de prueba que enviaban una señal a su servidor cada vez que una máquina los ejecutaba, con el objetivo de comprobar si los agentes seguían las instrucciones.

La primera respuesta llegó en menos de una hora y procedió de una empresa Fortune 500, de acuerdo con la investigación. Después aparecieron unas docenas adicionales de conexiones, originadas tanto en otras compañías Fortune 500 como en startups, lo que mostró que el escenario no estaba limitado a laboratorios aislados o entornos de prueba sin relación con operaciones empresariales.

La baliza también registró la cadena de procesos padres que iniciaba cada instalación. Ese rastro permitió vincular las ejecuciones con agentes de programación como Claude, Codex de OpenAI y Hermes de Nous Research, aunque Anthropic, OpenAI y Nous Research no respondieron a las solicitudes de comentarios antes de la publicación.

El problema de los paquetes abandonados

Los archivos defectuosos incluían nombres inexistentes en registros como PyPI y npm, junto con instrucciones explícitas para instalarlos. En un caso aparecía una indicación equivalente a ejecutar pip install con el nombre del paquete; en otro, la orden utilizaba npm install, dos instrucciones que pueden parecer rutinarias para un agente orientado a configurar un proyecto.

El investigador Alon Hertz describió la situación con una frase contundente: “El modelo de confianza está roto”. Según explicó, los agentes suelen tratar la documentación de proveedores como una verdad absoluta y los humanos que los supervisan tampoco siempre cuestionan esas indicaciones, mientras la adopción de sistemas agénticos extiende la superficie de la cadena de suministro hacia SaaS, nubes y dispositivos finales.

La amenaza no exige que una empresa publique deliberadamente instrucciones maliciosas. Basta con que una referencia legítima apunte a un paquete que fue abandonado o a un dominio que expiró, porque un atacante puede registrar después ese espacio y utilizarlo para distribuir software dañino sin modificar el archivo original de la compañía.

En otros casos, los archivos dirigían a dominios inexistentes mediante ejemplos de frameworks o herramientas de desarrollo. La cadena de confianza podía ser indirecta: un agente podía leer documentación de un socio, una guía de un proveedor o un proyecto comunitario, aceptar esa fuente como confiable y seguir desde allí un enlace hacia un dominio que ya no tenía propietario.

El caso del comando npx

La investigación también identificó un archivo de documentación alojado en el sitio legítimo clerk.com que contenía el comando npx clerk-next-fix-auth-protection. A diferencia de una instalación convencional, npx puede descargar un paquete a la caché de npm y ejecutar el binario que este expone sin incorporarlo al manifiesto de dependencias del proyecto.

Los investigadores descubrieron que alguien había reclamado el espacio que antes estaba disponible y lo utilizaba para alojar malware activo. Clerk corrigió posteriormente el problema y señaló que no existía una amenaza si el agente ya había instalado un binario incluido en el paquete @clerk/eslint-plugin; en caso contrario, podía instalarse el paquete malicioso mencionado en la documentación.

La investigación no determinó si esta confusión produjo infecciones reales en organizaciones. Sin embargo, el episodio mostró que un comando aparentemente legítimo podía adquirir una carga peligrosa cuando el nombre de destino quedaba disponible para otro usuario, mientras las herramientas corporativas interpretaban la operación como una acción normal de un gestor de paquetes.

El hallazgo resulta especialmente relevante porque los agentes que ejecutan código suelen disponer de permisos más amplios que un asistente conversacional tradicional. Cuando esas facultades se combinan con instrucciones recuperadas automáticamente desde internet, una referencia abandonada puede convertirse en una orden operativa antes de que un desarrollador o un equipo de seguridad revise su autenticidad.

Cuando los datos se comportan como comandos

Los investigadores sostienen que los controles tradicionales pueden fallar porque todas las señales visibles apuntan en la dirección equivocada. El archivo llega mediante HTTPS, utiliza el dominio oficial de una empresa, adopta un formato diseñado para sistemas de IA y, en muchos casos, parece haber sido publicado por la propia compañía o por un socio reconocido.

En ese contexto, un agente puede no comprobar si el nombre citado realmente pertenece a la organización, si el paquete existe en PyPI o npm, o si el dominio enlazado expiró meses atrás. Simplemente ejecuta la instrucción que encuentra, una conducta que convierte el contenido publicado en una superficie de ejecución potencial, aunque nadie hubiera incluido una orden maliciosa de forma intencional.

El reporte contabilizó 227 comandos destinados a instalar paquetes inexistentes o visitar dominios no reclamados dentro de los 120 archivos problemáticos. No está claro cómo llegaron allí esas referencias, pero en varios casos las entradas eran anteriores a la aparición de las herramientas de IA y habían sido copiadas desde archivos de documentación convencionales.

Ese antecedente sugiere que algunos errores fueron introducidos manualmente por personas. Los investigadores también sospechan que otras entradas pudieron surgir de sistemas de IA que alucinaron nombres de paquetes o, de forma similar a los agentes que después procesaron los archivos, no consiguieron distinguir entre una instrucción legítima y otra sin respaldo.

Causas de movimientos recientes

No aplica: el borrador aborda una investigación de seguridad y no describe movimientos de mercado.

Una falla más amplia que la inyección de instrucciones

Hertz diferenció este problema de una inyección de instrucciones tradicional, aunque ambos comparten una causa estructural. En una inyección, un actor suele plantar deliberadamente una orden dañina; en cambio, una referencia inicialmente benigna puede volverse peligrosa tiempo después, cuando el paquete o dominio legítimo queda libre y otro usuario lo registra.

La diferencia amplía el alcance de la amenaza porque no depende necesariamente de que alguien manipule el texto publicado. Una página, un archivo de configuración, una guía de instalación o una referencia técnica pueden conservar su apariencia original mientras el recurso externo al que apuntan cambia de propietario y adquiere un contenido malicioso.

El problema también desafía la detección en los dispositivos finales. Para un sistema EDR o un proxy corporativo, una orden como pip install desde pypi.org puede parecer una actividad normal de desarrollo, especialmente cuando el proceso padre es precisamente el agente de código que la empresa instaló y autorizó.

En ese escenario, ninguna capa aislada necesariamente genera una alerta, porque el fallo ocurre antes de la ejecución, en la relación entre una instrucción y el recurso al que dirige. La seguridad tendría que comprobar la propiedad y la legitimidad del paquete o dominio antes de permitir que un agente transforme documentación en acciones dentro de la red.

La conclusión de los investigadores apunta a una pérdida gradual del límite entre datos y código ejecutable. Mientras las empresas conecten agentes a mayores volúmenes de información externa y les concedan permisos para operar sobre sistemas, cualquier contenido que procesen podrá funcionar como una instrucción potencial, salvo que existan barreras específicas que separen lectura, validación y ejecución.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados