Los agentes de IA instalan código no verificado en redes de empresas

Un agujero de seguridad crítico demuestra cómo la confianza ciega en los asistentes de programación con IA permite que agentes automáticos ejecuten código sin verificar dentro de grandes corporaciones.

Ciento veinte archivos olvidados en internet y apenas sesenta minutos de espera. Eso fue todo lo que necesitó un equipo de investigadores para lograr que computadoras situadas dentro de las redes corporativas de empresas Fortune 500 instalaran y ejecutaran código no verificado de forma totalmente automática. Sin utilizar ataques informáticos sofisticados, sin romper cifrados complejos y sin necesidad de engañar a ningún empleado humano mediante ingeniería social. El vector de entrada no fue una vulnerabilidad oculta en el sistema operativo, sino la fe ciega que la industria tecnológica está depositando en la autonomía de sus agentes de inteligencia artificial.

Nos han vendido la idea de que los asistentes de código basados en IA son el futuro del desarrollo de software: entidades capaces de navegar por la web, leer documentación técnica, instalar dependencias y resolver problemas complejos en cuestión de segundos. Sin embargo, lo que este hallazgo saca a la luz es una realidad bastante más incómoda: estamos entregando las llaves de nuestra infraestructura digital a programas que ejecutan instrucciones sin verificar quién las escribió ni de dónde vienen.

Un estándar bienintencionado convertido en una puerta trasera

Para entender la raíz de esta brecha de seguridad hay que hablar de una tendencia emergente en la web: los archivos titulados llms.txt y llms-full.txt. De forma análoga a lo que el histórico archivo robots.txt representa para los motores de búsqueda tradicionales, estas listas en formato de texto plano fueron creadas para guiar a los modelos de lenguaje a través de la documentación estructurada de un sitio web. Empresas, proyectos de código abierto y plataformas tecnológicas comenzaron a adoptar este estándar para facilitar que las herramientas de IA entiendan sus productos y librerías de software rápidamente.

El problema surge cuando la prisa por estar a la vanguardia supera a los controles de calidad mínimos. Una reciente investigación llevada a cabo por una firma de ciberseguridad analizó más de 6.000 dominios pertenecientes a gigantes tecnológicos, contratistas del sector de defensa y firmas corporativas de primer nivel. Al revisar 8.265 de estos archivos guía, descubrieron que en al menos 120 casos los documentos recomendaban la instalación de paquetes de código o hacían referencia a dominios web que sencillamente no existían o habían sido abandonados por sus creadores originales.

En el ámbito de la programación, recomendar una librería inexistente no es un error trivial: es una alfombra roja para los ciberdelincuentes. Este fenómeno abre la puerta a ataques de suplantación donde un atacante registra el nombre abandonado e inyecta su propio código en los repositorios públicos.

La trampa del piloto automático en el desarrollo de software

Para demostrar el peligro real de esta grieta, los investigadores decidieron hacer un experimento controlado: registraron un puñado de estos nombres de paquetes huérfanos e incluyeron dentro de ellos un script completamente inofensivo cuya única función era enviar una señal de notificación a sus servidores en caso de ser ejecutado. Tal como se detalla en el reporte publicado por Ars Technica, los resultados no tardaron en llegar: en menos de una hora, la primera alerta sonó desde la red interna de una importante compañía internacional.

Durante los días siguientes, la señal se repitió decenas de veces desde infraestructuras de startups y grandes multinacionales. Al rastrear el origen exacto de las ejecuciones, la secuencia de procesos reveló que los culpables no eran programadores distraídos, sino populares agentes de codificación como Claude, Codex de OpenAI y el modelo Hermes desarrollado por Nous Research. Al procesar la documentación recomendada en los sitios corporativos, estos agentes leyeron las instrucciones del archivo llms.txt, asumieron que el código recomendado era legítimo y procedieron a descargarlo e instalarlo automáticamente en el entorno local o de desarrollo de las empresas.

Peor aún: las revisiones revelaron que al menos uno de los sitios web analizados estaba redirigiendo a los visitantes —ya fueran personas o agentes sintéticos— directamente hacia software malicioso activo. La IA, actuando en piloto automático, sencillamente acató la orden de descargar la amenaza.

El espejismo de la seguridad en la era de los agentes autónomos

Lo que presenciamos aquí es la colisión frontal entre las campañas de marketing publicitario y la cruda realidad técnica. Durante los últimos meses, las grandes tecnológicas se han enfrentado en una carrera feroz por demostrar quién ofrece el agente de software más autónomo, más rápido y más capaz de actuar sin intervención humana. Nos han presentado a estas herramientas no como simples clasificadores de texto, sino como auténticos compañeros de trabajo capaces de tomar decisiones de arquitectura e integración.

Pero en esa carrera por la velocidad se han omitido deliberadamente los mecanismos básicos de validación y aislamiento. ¿Por qué un modelo de lenguaje tiene permiso para ejecutar comandos en una consola e instalar paquetes externos sin una confirmación explícita o una verificación de firmas criptográficas? La respuesta es simple: porque pedir confirmación al usuario resta fluidez a la demostración comercial.

Resulta revelador el silencio de las firmas involucradas. Ante los hallazgos planteados por los especialistas en ciberseguridad, las principales empresas detrás de estos modelos no emitieron declaraciones inmediatas para aclarar cómo planean remediar esta vulnerabilidad estructural en el comportamiento de sus agentes.

💡 El panorama general: ¿Cómo nos afecta esto?

Este incidente marca el inicio de una nueva categoría de riesgos de ciberseguridad centrados en la cadena de suministro de datos. Durante años hemos asumido que los vectores de ataque requerían la manipulación directa de un humano, como hacer clic en un enlace engañoso o descargar un archivo adjunto malicioso. Hoy, los atacantes ni siquiera necesitan interactuar con una persona: les basta con sembrar migas de pan digitales en archivos de texto para que las IAs autónomas las recojan y las lleven voluntariamente al corazón de la red corporativa.

A medida que la integración de agentes sintéticos se extienda a tareas administrativas, de finanzas y de gestión de servidores, el impacto potencial de esta negligencia se multiplicará exponencialmente. Las empresas que hoy celebran reducciones de costos por delegar tareas de programación a sistemas automatizados se enfrentan a una factura mucho mayor en términos de brechas de datos, multas regulatorias y pérdida de propiedad intelectual. La delegación de autonomía sin supervisión estricta no es eficiencia: es una imprudencia presupuestaria.

Para la comunidad tecnológica y los profesionales de la industria, el mensaje es contundente: la automatización basada en modelos de lenguaje requiere con urgencia una capa de gobernanza estricta. Hasta que las plataformas de IA no implementen entornos aislados de ejecución, listas blancas de repositorios verificados y protocolos rigurosos de autenticación, dejar a un agente de codificación suelto en la red interna de una empresa es el equivalente digital a dejar la puerta principal de la oficina abierta de par en par con un cartel de bienvenida.