La creciente autonomía de los agentes de inteligencia artificial está abriendo nuevas posibilidades para programadores y empresas, pero también está creando escenarios de seguridad que hasta hace poco eran prácticamente inexistentes.
Una reciente investigación de ciberseguridad puso el foco sobre los archivos llms.txt, un formato emergente que algunos sitios web utilizan para ofrecer información estructurada destinada a sistemas y agentes de inteligencia artificial.
El problema aparece cuando estos documentos incluyen instrucciones de instalación o referencias hacia paquetes de software y dominios que ya no existen o que nunca fueron registrados.
Más de 6.000 dominios fueron analizados
Los investigadores examinaron 6.214 dominios activos relacionados con grandes compañías tecnológicas, contratistas del sector defensa y empresas pertenecientes al Fortune 500.
Durante el análisis localizaron miles de archivos llms.txt y llms-full.txt.
Entre ellos, 120 sitios contenían referencias hacia paquetes de software o dominios que no estaban registrados, mientras que se identificaron aproximadamente 227 comandos de instalación relacionados con recursos sin propietario.
La situación genera un escenario especialmente delicado: si nadie posee el nombre de un paquete mencionado en una documentación legítima, un tercero podría registrarlo posteriormente y distribuir código bajo ese mismo nombre.
Los investigadores decidieron comprobar el riesgo
Para comprobar si el escenario podía producirse fuera de un entorno teórico, el equipo registró algunos de los nombres que todavía estaban disponibles.
En lugar de utilizar código malicioso, crearon paquetes de prueba diseñados únicamente para enviar una señal al servidor de los investigadores cuando fueran ejecutados.
La respuesta no tardó demasiado.
Según el informe publicado por Ars Technica, en menos de una hora recibieron una conexión procedente del entorno de una empresa Fortune 500. Posteriormente llegaron más señales desde otras compañías y startups.
Los registros de ejecución permitieron relacionar algunas de estas instalaciones con agentes de programación como Claude, OpenAI Codex y Hermes.
El problema no significa que Claude o Codex sean maliciosos
Este punto es especialmente importante.
La investigación no demuestra que Claude, Codex o Hermes hayan sido diseñados para ejecutar software malicioso, ni que exista necesariamente una vulnerabilidad exclusiva de estas plataformas.
El escenario depende de varios factores, especialmente de los permisos concedidos al agente y de la confianza depositada en las instrucciones encontradas dentro de documentación externa.
Un agente con acceso al terminal puede interpretar una documentación aparentemente oficial como una fuente confiable y ejecutar comandos de instalación sin comprobar previamente quién controla realmente el paquete solicitado.
Es precisamente esa combinación entre automatización, confianza y permisos de ejecución la que preocupa a los investigadores.
Un nuevo desafío para la cadena de suministro de software
Los ataques contra la cadena de suministro no son nuevos.
Durante años los ciberdelincuentes han utilizado técnicas como paquetes falsos, nombres similares a librerías populares o dependencias comprometidas.
Los agentes autónomos añaden ahora una nueva variable.
Una instrucción que anteriormente debía leer y ejecutar manualmente un desarrollador puede convertirse en una acción realizada automáticamente por un sistema de inteligencia artificial.
Por esta razón, documentos aparentemente inocentes podrían terminar convirtiéndose indirectamente en una entrada operativa para sistemas con permisos dentro de redes corporativas.
La seguridad tendrá que evolucionar junto con los agentes de IA
A medida que herramientas capaces de programar, instalar dependencias y ejecutar comandos ganen autonomía, las empresas tendrán que aplicar controles adicionales.
Verificar la procedencia de los paquetes, limitar los permisos de ejecución, revisar las dependencias y evitar que documentación externa sea considerada automáticamente como confiable serán medidas cada vez más importantes.
La investigación demuestra que la revolución de los agentes de IA también está cambiando las reglas de la ciberseguridad.
Y mientras estos sistemas reciben cada vez más capacidades para actuar por nosotros, una pregunta empieza a cobrar mayor importancia:
¿hasta qué punto deberíamos permitir que una inteligencia artificial ejecute lo que encuentra en Internet sin verificarlo primero?
