Agentes de código IA instalan paquetes no confiables en redes corporativas

Investigadores de una startup israelí analizaron 6.214 dominios activos pertenecientes a contratistas de defensa, empresas Fortune 500 y grandes tecnológicas. Encontraron 8.265 archivos llms.txt o llms-full.txt; de ellos, 120 apuntaban a paquetes o dominios no registrados. Para comprobar el comportamiento, registraron algunos de esos nombres y alojaron paquetes que, al ejecutarse, contactaban a su servidor.

En menos de una hora recibieron la primera señal de una empresa Fortune 500. Con el tiempo se acumularon decenas de respuestas adicionales, tanto de compañías Fortune 500 como de startups. El registro de procesos reveló que varios agentes de codificación —incluyendo Claude de Anthropic, Codex de OpenAI y Hermes de Nous Research— estaban involucrados en la instalación.

Anthropic, OpenAI y Nous Research no respondieron a solicitudes de comentario antes de la publicación. Los investigadores advierten que este vector se asemeja a los ataques de cadena de suministro tipo SolarWinds. Al tratar la documentación del proveedor como verdad absoluta, los agentes y sus supervisores humanos no cuestionan la procedencia del código.

"El modelo de confianza está roto", señaló Alon Hertz, uno de los investigadores, en entrevista. "El uso de IA agente está explotando rápidamente y se extiende por SaaS, nube y endpoints. A medida que se multiplica, también lo hace la superficie de ataque, y las defensas actuales no la cubren".

Este hallazgo subraya la necesidad de revisar los flujos de confianza en entornos donde los agentes de IA generan o ejecutan código sin verificación explícita, y de reforzar la monitorización de procesos y comunicaciones salientes.