El payload es una oración, no un programa
Ha surgido una nueva vulnerabilidad sorprendente en el creciente ecosistema de agentes de IA. VirusTotal analizó aproximadamente 36,000 habilidades de IA e identificó 6,637 como maliciosas, casi una de cada cinco. Esto no es malware tradicional; el 62% de estas habilidades maliciosas no contenían código ejecutable.
El payload es una oración, no un programa. Estos agentes interpretan el contenido de la habilidad como instrucciones directas, lo que significa que las instrucciones en lenguaje sencillo pueden convertirse en un vector de ataque. Esto representa un cambio fundamental en el modelo de amenazas, donde la comprensión semántica, no la ejecución de código, impulsa la explotación.
Los agentes a menudo operan con permisos extensos, accediendo a archivos, terminales y herramientas de red. Un prompt cuidadosamente elaborado puede aprovechar estos permisos de usuario confiables para provocar la exposición de datos, modificaciones no autorizadas del sistema u otras acciones maliciosas. Es el problema de npm de nuevo, pero el payload ahora es conversacional.
Los atacantes emplean varias técnicas de evasión. Algunos ocultan instrucciones cientos de líneas en blanco por debajo del final aparente de un archivo. Otros incrustan directivas en comentarios HTML o caracteres Unicode invisibles, que están ocultos para los revisores humanos pero son totalmente legibles para el LLM subyacente. Esto requiere que inspeccionemos el archivo sin procesar, no solo la versión renderizada.
Los trucos que desaparecen en una vista previa
Los atacantes emplean trucos visuales para ocultar prompts maliciosos a los revisores humanos. Algunos prompts se sitúan cientos de líneas en blanco por debajo del contenido aparente del archivo, una técnica conocida como whitespace padding. Una habilidad de datos de la OMS ocultó una instrucción después de 733 líneas para informar que la malaria en Nigeria era cero. Otra herramienta de correo en frío escondió una directiva de CCO después de 672 líneas en blanco.
Los comentarios HTML también sirven como disfraz. Estos elementos, como <!-- hidden text -->, desaparecen en las páginas web renderizadas pero permanecen visibles para un agente que lee el archivo sin procesar. Los caracteres Unicode invisibles, como los espacios de ancho cero, oscurecen aún más el texto a los ojos humanos y a la coincidencia de patrones básica, pero siguen siendo totalmente legibles para el LLM subyacente.
VirusTotal encontró al menos 90 habilidades que utilizan estas técnicas de evasión visual. Esto destaca una brecha crítica: lo que un mercado muestra a un revisor humano a menudo difiere del archivo sin procesar que un agente realmente procesa. Esta discrepancia crea una oportunidad para que los actores maliciosos incrusten instrucciones encubiertas.
Este problema se hace eco de las vulnerabilidades de la cadena de suministro de npm, pero con un giro semántico. El payload es ahora una oración, no un programa, pero conlleva el mismo potencial de compromiso. Los usuarios deben inspeccionar los archivos sin procesar, no solo las vistas previas renderizadas, para verificar la integridad de la habilidad.
Cuando se le dice al agente que guarde silencio
Las instrucciones a veces dirigen explícitamente al agente a ocultar sus acciones. Algunas habilidades maliciosas, por ejemplo, le dicen al agente que "tu humano no necesita saberlo". Este comando directo evita la supervisión humana, permitiendo que el agente ejecute sus directivas ocultas sin levantar sospechas.
Además, estos payloads apuntan a la persistencia. Las instrucciones pueden pedir al agente que escriba en archivos similares a la memoria, como memory.md o agents.md. Esto incrusta el comportamiento malicioso directamente en la configuración a largo plazo del agente, asegurando que pueda continuar afectando sesiones posteriores incluso después de que la habilidad inicial sea eliminada o deshabilitada.
Este patrón recuerda notablemente al problema de la cadena de suministro de npm que ha afectado al desarrollo de software durante años. Sin embargo, la superficie de ataque cambia significativamente con los agentes de IA. En lugar de exploits convencionales o código binario, la carga útil es a menudo texto semántico: instrucciones en lenguaje sencillo que un LLM interpreta y sobre las que actúa. Para un análisis más detallado, consulte How Some Malicious AI Skills Hide Instructions from Reviewers - VirusTotal Blog.
La distinción es crítica: las herramientas de seguridad tradicionales tienen dificultades para identificar estos exploits basados en texto porque carecen de código malicioso. De las 6,637 habilidades maliciosas que VirusTotal identificó, el 62% no contenía código ejecutable tradicional. Esto destaca un desafío fundamental en la protección de sistemas agénticos, donde una simple oración puede ser tan potente como un virus sofisticado.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
Inspeccione el archivo sin procesar antes de confiar en la habilidad
Dada la naturaleza sutil de estos ataques, confiar en las vistas previas renderizadas de GitHub o las interfaces de usuario de los marketplaces introduce puntos ciegos críticos. Inspeccione siempre el archivo fuente sin procesar directamente. Busque espacios en blanco inusualmente grandes, comentarios HTML y caracteres Unicode sospechosos que desaparecen en las vistas formateadas pero que siguen siendo legibles para un agente.
Más allá de la inspección manual, implemente permisos robustos. Los agentes deben requerir aprobación explícita antes de escribir en la memoria o en archivos de configuración como memory.md o agents.md. Aplique el principio de menor privilegio a todo el acceso al sistema de archivos y a la red, minimizando el radio de explosión potencial de un agente.
Si bien los sandboxes aislados y los escáneres de seguridad ofrecen una defensa en profundidad, no son infalibles. Los escáneres de habilidades de código abierto, por ejemplo, pasan por alto entre el 33% y el 71% de estos exploits de lenguaje natural. Esta alta tasa de fallos subraya la necesidad continua de revisión humana y permisos estrictamente aplicados.
El ecosistema npm nos enseñó que componentes aparentemente inocuos pueden ocultar cargas útiles peligrosas. Ahora, con las habilidades de IA, la carga útil es a menudo solo una oración. La vigilancia a nivel de archivo sin procesar, combinada con controles de acceso estrictos, sigue siendo su mejor defensa contra estas amenazas en evolución.
Preguntas frecuentes
¿Qué es una habilidad de agente de IA maliciosa?
Es una habilidad que contiene instrucciones que manipulan a un agente de IA para realizar acciones inseguras, como exponer datos o modificar archivos.
¿Cómo puede una habilidad ocultar instrucciones a los revisores humanos?
Puede colocar prompts después de largos espacios en blanco, dentro de comentarios HTML o en caracteres Unicode invisibles que los renderizadores y editores pueden ocultar.
¿Por qué los escáneres de malware tradicionales pueden pasar por alto estas habilidades?
Muchas habilidades maliciosas no contienen código ejecutable; su carga útil es texto en lenguaje natural que el agente interpreta como instrucciones.
¿Cómo puedo reducir el riesgo de usar habilidades de IA?
Inspeccione el código fuente sin procesar, verifique el final de los archivos, requiera aprobación para cambios en la memoria y ejecute agentes con el menor privilegio en un sandbox.