La adopción de agentes de inteligencia artificial (IA) en numerosas organizaciones ha abierto nuevas oportunidades para los atacantes, quienes pueden manipular estos sistemas para realizar acciones maliciosas, como la exfiltración de información sensible. En los últimos cinco meses, Google y otras cuatro organizaciones han reconocido vulnerabilidades que permiten a un agente dentro de una red objetivo propagar instrucciones dañinas a otros agentes internos.
El investigador independiente Syed Anas Mohiuddin ha probado agentes de varias entidades, incluyendo Google y JP Morgan Chase, encontrando que estas vulnerabilidades explotan brechas de confianza en el Model Context Protocol (MCP), el estándar que utilizan las aplicaciones y agentes de IA para comunicarse dentro de una red interna. Muchos de estos agentes carecen de las medidas de seguridad necesarias para mitigar las consecuencias de una inyección de comandos, lo que facilita que un agente malicioso envíe instrucciones dañinas a otros agentes.
La vulnerabilidad CVE-2026-97228, descubierta en la red de Rapid7, tenía una calificación de severidad de 2.7 sobre 10 y fue corregida el mes pasado. En contraste, la vulnerabilidad que afecta a Google tenía una calificación de 8, derivada de un error en un conjunto de herramientas de MCP para bases de datos que no validaba adecuadamente las direcciones IP de destino. Esto permitió que un atacante pudiera redirigir solicitudes a un endpoint interno.
Douglas McKee, director de inteligencia de vulnerabilidades en Rapid7, destacó que los agentes de IA ofrecen a los atacantes nuevas conexiones para explotar. Un agente puede recibir un texto malicioso y pasarlo a otro agente como parte de una tarea normal, lo que complica la detección de estos ataques. Cada protocolo fue diseñado para operar de manera independiente, lo que significa que cada uno verifica su propia seguridad, pero no supervisa las interacciones entre ellos.
Syed ha denominado a esta clase de ataque “protocol pivoting”, ya que los exploits funcionan cuando una aplicación utiliza MCP para asignar tareas a un agente, y este, a su vez, reenvía instrucciones maliciosas a otro agente utilizando diferentes métodos de comunicación. Este tipo de vulnerabilidades subraya la necesidad de que las empresas revisen sus protocolos de seguridad y la confianza entre sus sistemas de IA.
Comentarios