Agentes de codificación de IA instalaron código desconocido dentro de redes corporativas a través de una falla en un estándar web poco conocido

Puntos clave

• Investigadores que escanearon 6.214 dominios encontraron 120 sitios web cuyos archivos de guía legibles por IA señalaban paquetes de software que nadie poseía.
• Dentro de una hora de registrar un nombre de paquete no reclamado, los investigadores recibieron una conexión desde la red interna de una empresa Fortune 500.
• Se identificaron agentes de codificación de IA incluyendo Claude (Anthropic) y Codex (OpenAI) en la cadena de eventos que desencadenó las instalaciones, junto con Hermes de Nous Research.
• Al menos un sitio mal configurado está sirviendo activamente malware real, no solo código de prueba de concepto.
• Anthropic, OpenAI y Nous Research no respondieron a solicitudes de comentarios antes de la publicación.

Una pequeña startup de seguridad israelí ha expuesto una vulnerabilidad escondida dentro de un estándar web que la mayoría de las personas nunca han oído hablar. Docenas de empresas, incluyendo algunas de las más grandes del mundo, ya han sido atrapadas por ella.

¿Cuál es exactamente el problema?

El problema está en archivos llamados llms.txt y llms-full.txt. Piénsalos como una hoja de trucos que un sitio web deja para software de IA: un resumen en texto plano de lo que contiene el sitio y cómo está organizado. Funcionan de la manera que lo hace robots.txt para Google, diciéndole a los motores de búsqueda qué páginas rastrear. Estos archivos más nuevos les dicen a los agentes de IA, software que puede realizar tareas de múltiples pasos por su cuenta, de qué trata el sitio y, críticamente, qué software utiliza.

El problema es lo que sucede cuando esa hoja de trucos contiene un error.

¿Cómo funcionó el ataque?

Los investigadores escanearon 6.214 dominios activos pertenecientes a contratistas de defensa y grandes empresas de tecnología. Entre los 8.265 archivos llms.txt y llms-full.txt que encontraron, 120 de ellos, cada uno en un sitio separado, nombraban paquetes de software o direcciones web que nadie había registrado. Referencias muertas.

Los investigadores reclamaron un puñado de esos nombres no reclamados y colocaron código de baliza inofensivo en ellos, software que se comunica cuando se ejecuta, para medir quién se conectaba.

Dentro de una hora, una empresa Fortune 500 llamó.

Durante los días siguientes, llegaron algunas docenas más de respuestas. Los investigadores pudieron ver qué software había iniciado cada proceso. Los agentes de codificación, herramientas de IA que ayudan a los desarrolladores a escribir y ejecutar código automáticamente, fueron los responsables: Claude, Codex, Hermes. Cada uno había leído el archivo de guía, encontrado la referencia del software y lo había obtenido sin que nadie presionara un botón. Cubrimos estos agentes en un contexto diferente cuando Slack les dio sus propios canales de proyecto en el 20 de agosto, y la autonomía que los hace útiles allí es precisamente lo que hace que este ataque sea barato de ejecutar.

Ars Technica, que informó primero los detalles técnicos completos, señaló que al menos un sitio del mundo real está sirviendo malware real, no solo código de prueba inofensivo.

¿Qué significa esto para las personas comunes?

Si tu empresa utiliza herramientas de codificación de IA, software que completa automáticamente código o ejecuta tareas en segundo plano, tu red interna es posible que ya haya obtenido código de una fuente que nadie verificó. No necesitabas hacer clic en nada. Tampoco tus colegas.

El paso práctico inmediato: los desarrolladores y equipos de seguridad deberían auditar sus archivos llms.txt y confirmar que todos los nombres de paquetes listados sean realmente controlados por su organización.

Las soluciones más amplias dependen de las empresas que construyen estos agentes. Hasta que los agentes de codificación verifiquen que los paquetes referenciados sean reales y confiables antes de obtenerlos, esta clase de ataque sigue siendo barata de ejecutar y difícil de detectar. Esa es la parte que vale la pena observar aquí. La vulnerabilidad en sí es casi trivialmente simple, y la respuesta de la industria, o la falta de ella, dirá mucho.

Preguntas frecuentes

¿Me afecta esto si no uso herramientas de IA en el trabajo?

No directamente. El riesgo está en las organizaciones que ejecutan agentes de codificación de IA que procesan estos archivos automáticamente. La navegación web estándar no desencadena el mismo comportamiento.

¿Deberían las empresas dejar de usar agentes de codificación de IA?

No necesariamente, pero los equipos de seguridad deberían saber qué agentes se están ejecutando en su entorno, qué permisos tienen esos agentes y si sus propios sitios web llevan archivos llms.txt verificados.