Una nueva vulnerabilidad crítica descubierta por la firma de investigación de seguridad LayerX ha expuesto un fallo arquitectónico fundamental en la forma en que los modelos de lenguaje grande (LLM) manejan los límites de confianza. La falla de ejecución remota de código (RCE) de cero clics en las extensiones de Claude para escritorio (DXT) permite a los atacantes comprometer un sistema utilizando nada más que un evento de Google Calendar maliciosamente elaborado.

Una nueva vulnerabilidad crítica descubierta por la firma de investigación de seguridad LayerX ha expuesto un fallo arquitectónico fundamental en cómo los Modelos de Lenguaje Grande (LLMs) gestionan los límites de confianza.

La falla de ejecución remota de código (RCE) de cero clics en las Claude Desktop Extensions (DXT) permite a los atacantes comprometer un sistema usando nada más que un evento maliciosamente elaborado en Google Calendar.

La vulnerabilidad, a la que LayerX ha asignado una puntuación CVSS de 10/10, afecta a más de 10.000 usuarios activos y a más de 50 extensiones DXT. Destaca una brecha peligrosa en el ecosistema del Model Context Protocol (MCP): la capacidad de los agentes de IA para encadenar de forma autónoma fuentes de datos de bajo riesgo con herramientas de ejecución de alto privilegio sin el consentimiento del usuario.

En el centro del problema está la arquitectura de las Claude Desktop Extensions. A diferencia de las extensiones modernas de navegadores (como los archivos .crx de Chrome), que operan dentro de entornos estrictamente aislados, los servidores MCP de Claude se ejecutan con privilegios completos del sistema en la máquina anfitriona. Estas extensiones no son complementos pasivos, sino puentes activos entre el modelo de IA y el sistema operativo local.

Según LayerX, esta falta de aislamiento significa que si una extensión es forzada a ejecutar un comando, lo hace con los mismos permisos que el usuario, pudiendo leer archivos arbitrarios, acceder a credenciales almacenadas y modificar configuraciones del sistema operativo.

Vulnerabilidad RCE de cero clics en Claude Desktop Extensions

El exploit no requiere ingeniería de prompts compleja ni interacción directa de la víctima para activar la carga útil. El vector de ataque es sorprendentemente simple: un evento de Google Calendar.

En el escenario descrito por los investigadores, denominado “As de Ases”, un atacante invita a la víctima a un evento de calendario (o inyecta uno en un calendario compartido) llamado “Gestión de Tareas”. La descripción del evento contiene instrucciones para clonar un repositorio Git malicioso y ejecutar un archivo makefile.

Cuando el usuario más tarde le pide a Claude algo inocuo como “Por favor revisa mis últimos eventos en Google Calendar y encárgate de ellos por mí”, el modelo interpreta de forma autónoma la instrucción “encárgate de ellos” como una autorización para ejecutar las tareas encontradas en el evento del calendario.

Al no existir salvaguardas codificadas que impidan el flujo de datos desde un conector de baja confianza (Google Calendar) a un ejecutor local de alta confianza (Desktop Commander), Claude procede a:

1. Leer las instrucciones maliciosas del calendario.
2. Usar la extensión MCP local para realizar un git pull desde el repositorio del atacante.
3. Ejecutar el archivo descargado make.bat.

Toda esta secuencia ocurre sin un aviso de confirmación específico para la ejecución del código, lo que resulta en un compromiso total del sistema. El usuario cree que solo está pidiendo una actualización de su agenda, mientras el agente de IA cede silenciosamente el control del sistema a un actor malintencionado.

La vulnerabilidad es distinta porque no es un error de software tradicional (como un desbordamiento de búfer), sino un “fallo de flujo de trabajo”. El defecto reside en la lógica de toma de decisiones autónoma del LLM.

Claude está diseñado para ser útil y autónomo, encadenando herramientas para cumplir solicitudes. Sin embargo, carece del contexto para entender que los datos provenientes de una fuente pública como un calendario nunca deberían canalizarse directamente a una herramienta de ejecución privilegiada.

“Esto crea violaciones de límites de confianza a nivel de sistema en los flujos de trabajo impulsados por LLMs”, afirma el informe de LayerX. “La conexión automática de fuentes de datos benignas con contextos de ejecución privilegiados es fundamentalmente insegura”.

LayerX divulgó estos hallazgos a Anthropic, los creadores de Claude. Sorprendentemente, la compañía decidió no solucionar el problema por el momento, probablemente porque el comportamiento es consistente con el diseño previsto de la autonomía e interoperabilidad del MCP. Arreglarlo requeriría imponer límites estrictos a la capacidad del modelo para encadenar herramientas, lo que podría reducir su utilidad.

Hasta que se implemente un parche o un cambio arquitectónico, LayerX aconseja que los conectores MCP deben considerarse inseguros para sistemas sensibles a la seguridad.

El equipo de investigación recomienda que los usuarios desconecten las extensiones locales de alto privilegio si también utilizan conectores que ingieren datos externos no confiables, como correos electrónicos o calendarios.

A medida que los agentes de IA pasan de ser simples chatbots a asistentes activos del sistema operativo, la superficie de ataque ha cambiado. Esta ejecución remota de código de cero clics (RCE) sirve como advertencia: conceder a los agentes de IA acceso a nuestra vida digital también nos expone a quienes pueden manipular sus datos. La comodidad de dejar que la IA gestione tareas conlleva riesgos de seguridad significativos.