Agentes autónomos escapan repetidamente de máquinas virtuales QEMU y KVM

Las máquinas virtuales no contienen a un agente autónomo con capacidad ofensiva. Es lo que se desprende de una evaluación de seguridad publicada por Trail of Bits, en la que un modelo avanzado escapó varias veces de un entorno QEMU y KVM sobre Linux explotando fallos de kernel y vulnerabilidades de día cero. Contra Firecracker, en cambio, el agente quedó contenido, aunque fue capaz de dejar la máquina anfitriona colgada.

Qué hizo el agente

El modelo empleado es GPT-5.6-Cyber, que se distribuye gratis dentro de la iniciativa Patch-the-Planet. Se le dejó trabajar sin supervisión durante horas: leía código fuente, encadenaba exploits y, cuando un intento fallaba, daba marcha atrás y probaba otra vía.

El primer asalto fue contra vulnerabilidades conocidas del kernel anfitrión. Alrededor de una hora después de arrancar, el agente provocó un bloqueo duro de la máquina aprovechando Januscape, un fallo del kernel recién divulgado que no tenía exploit público. No llegó a rematar antes de que se actualizara el kernel, pero construyó código de ataque funcional a partir de una divulgación parcial.

Los investigadores actualizaron el kernel para subir la dificultad y el segundo intento se fue a por las librerías de red. El objetivo era libslirp, la librería que da red a la máquina virtual. El agente encontró que un commit de corrección sin asignar se podía combinar con CVE-2026-9539 en paquetes antiguos de distribuciones estables para conseguir primitivas de lectura y escritura arbitraria en el anfitrión. Con eso, el escape salió casi solo.

Para el tercer intento se compiló desde cero un entorno mínimo con las últimas fuentes de libslirp y QEMU. Tampoco sirvió. El agente hizo caza de bugs sobre el código del kernel y sus librerías y encadenó varios días cero con fallos sin parchear de la distribución: alias ROM sin comprobar en el componente VAPIC para solapar SMRAM bloqueada y lograr ejecución en SMM controlada por el atacante, páginas sombra desincronizadas en KVM, roles de página obsoletos que permitían mapear memoria física del anfitrión y modificar el heap de QEMU, y errores de longitud de cabecera en fragmentos mixtos de libslirp para copiar datos más allá de los paquetes reensamblados y dejar objetos vivos con los que secuestrar callbacks.

Por qué importa

El problema de fondo es la superficie de ataque. Una máquina virtual normal comparte recursos, habla por red y expone interfaces de kernel porque tiene que ser útil; el agente usa todo eso como escalones.

Las recomendaciones son las habituales para quien ya no se fía de la barrera: virtualización de superficie mínima como Firecracker, mínimo privilegio, monitorización agresiva, red restringida y entornos efímeros y limpios en cada ejecución. Lo que cambia es el calendario. Las distribuciones estables con parcheo retroportado son el peor escenario, porque su ciclo es demasiado lento para un agente que encuentra y sintetiza exploits en horas. Actualizar rápido deja de ser una buena práctica y pasa a ser un requisito.