Atacante secuestra una sesión de código IA y propaga Shai-Hulud por 100 repos
El asistente recomendó una dependencia que el atacante había envenenado y, desde esa sesión abierta, se robaron tokens de GitHub y se desplegó el gusano por el código interno de la empresa
Mandiant ha documentado un caso en el que un atacante se hizo con el control de una sesión activa de un asistente de código basado en IA en una empresa de software como servicio que no identifica, y desde ahí propagó el gusano Shai-Hulud por cerca de un centenar de repositorios internos. El gusano se llevó secretos de repositorio y código fuente de los productos de la compañía.
El detalle aparece en el informe de septiembre de 2026 del equipo de Google. El estudio público no dice cuándo ocurrió la intrusión ni cómo el atacante tomó el control de la sesión.
El asistente recomendó lo que el atacante había envenenado
El punto de entrada no fue un exploit ni una credencial filtrada de un repositorio. Fue una recomendación. El asistente sugirió una dependencia que el atacante había manipulado, y el desarrollador la aceptó. A partir de ahí, el atacante aprovechó la sesión ya abierta para instalar un infostealer mediante un paquete de Python envenenado en PyPI. En el mismo movimiento se llevó tokens OAuth de GitHub.
Con esas credenciales desplegó Shai-Hulud, un gusano que se autoreplica, por unos 100 repositorios internos. Además envenenó un paquete en el namespace oficial de la empresa: otro empleado tiró de la versión comprometida y provocó una segunda infección. Dos vías distintas del mismo incidente, la del asistente y la del registro interno.
Mandiant ya venía avisando de que los atacantes usan IA en campañas reales. En su informe de marzo de 2026 señalaba que durante 2025 se pasó de emplear modelos generativos sobre todo para acelerar trabajo a meter LLM directamente en malware y ataques activos. Este caso añade la pieza que faltaba: el asistente no solo acelera al atacante, también puede ser el vector.
Tres controles para quien tiene asistentes en el pipeline
La recomendación de Mandiant para entornos de desarrollo asistidos por IA son tres medidas concretas. La primera, validar las dependencias de terceros que propone el asistente contra sumas de comprobación criptográficas y listas de permitidos aprobadas; su palabra no es una fuente de confianza. La segunda, mantener las claves de API en crudo, los tokens OAuth de vida larga y el resto de secretos fuera del alcance directo de las extensiones. Y la tercera, canalizar el tráfico de dependencias por repositorios internos controlados.
Conviene separar esto de otros incidentes recientes de la misma familia. En agosto, un gusano de npm ligado a Keyv envenenó cientos de paquetes y plantó hooks para Claude Code y Visual Studio Code. Un análisis posterior encontró una variante de Shai-Hulud que rastreaba 469 ubicaciones en busca de credenciales: sistemas de desarrollador, herramientas CI/CD, configuraciones de nube y ficheros de herramientas de IA. Son campañas distintas y la evidencia disponible no las vincula con la intrusión que describe Mandiant.
Lo relevante en términos operativos es que el eslabón débil ya no está solo en el paquete que instalas, sino en quién te lo recomienda. Si tu equipo acepta dependencias sugeridas por un asistente sin pasar por checksum ni allowlist, y ese asistente corre con acceso a tus tokens, tienes el mismo problema. Los tokens OAuth de larga duración y los secretos accesibles desde extensiones son el siguiente punto a revisar. Falta el dato del vector concreto de secuestro de la sesión, que es lo que permitiría saber qué parchear.
