Los agentes de inteligencia artificial se están integrando rápidamente en los flujos de trabajo empresariales, pero también introducen nuevas superficies de ataque. Investigadores de seguridad descubrieron recientemente una vulnerabilidad significativa en el motor Vertex AI Agent Engine de Google Cloud Platform. Al explotar el alcance de permisos predeterminados, los atacantes podrían convertir los agentes de IA desplegados en "agentes dobles" que exfiltran datos de manera encubierta y comprometen la infraestructura en la nube. 

Los agentes de inteligencia artificial se están convirtiendo rápidamente en una parte integral de los flujos de trabajo empresariales, pero también introducen nuevas superficies de ataque.

Investigadores de seguridad descubrieron recientemente una vulnerabilidad significativa en el Vertex AI Agent Engine de Google Cloud Platform.

Al explotar el alcance de permisos predeterminados, los atacantes podrían convertir los agentes de IA desplegados en "dobles agentes" que exfiltran datos en secreto y comprometen la infraestructura en la nube.

Explotación de permisos predeterminados

El problema central radica en los permisos predeterminados otorgados al Per-Project, Per-Product Service Agent (P4SA) asociado con los agentes de IA desplegados.

Los investigadores crearon un agente de prueba utilizando el Google Cloud Application Development Kit y descubrieron que podían extraer fácilmente las credenciales del agente de servicio subyacente.

Con estas credenciales robadas, un atacante podría salir del contexto de ejecución aislado del agente de IA e infiltrarse en el proyecto del consumidor más amplio.

Esta escalada de privilegios transforma una herramienta de IA útil en una peligrosa amenaza interna. Con la identidad comprometida, un atacante podría ejecutar varias acciones maliciosas:

• Leer todos los datos dentro de los buckets de Google Cloud Storage del consumidor.
• Acceder a repositorios restringidos del Google-owned Artifact Registry.
• Descargar imágenes de contenedores propietarias vinculadas al Vertex AI Reasoning Engine.
• Mapear cadenas de suministro de software internas para identificar más vulnerabilidades.

Las credenciales comprometidas también otorgaban acceso al proyecto de inquilino gestionado por Google dedicado a la instancia del agente.

Dentro de este entorno, los investigadores de Palo Alto Networks encontraron archivos sensibles de despliegue, incluyendo referencias a buckets de almacenamiento internos y un archivo Python pickle.

El módulo pickle de Python es históricamente inseguro para deserializar datos no confiables. Si un atacante lograra manipular este archivo, podría lograr ejecución remota de código para establecer una puerta trasera persistente.

Además, se descubrió que los ámbitos predeterminados de OAuth 2.0 asignados al Agent Engine eran peligrosamente permisivos.

Estos ámbitos excesivamente amplios podrían, en teoría, extender el alcance de un atacante más allá del entorno en la nube hacia las aplicaciones de Google Workspace de una organización.

Aunque la falta de permisos de Identity and Access Management impidió el acceso inmediato, los ámbitos amplios representaban una grave debilidad estructural de seguridad.

Aplicación del principio de mínimo privilegio

Tras un proceso de divulgación responsable, Google colaboró con los investigadores de seguridad para mitigar estas amenazas.

Google confirmó que controles robustos impiden a los atacantes alterar imágenes base de producción, bloqueando posibles ataques a la cadena de suministro entre inquilinos.

También actualizaron su documentación oficial de Vertex AI para aumentar la transparencia sobre el uso de recursos y cuentas.

Para proteger adecuadamente los despliegues del Vertex Agent Engine, las organizaciones deben abandonar las configuraciones predeterminadas. Google ahora recomienda un enfoque de Bring Your Own Service Account (BYOSA).

Al reemplazar el agente de servicio predeterminado con una cuenta personalizada, los equipos de seguridad pueden aplicar estrictamente el principio de mínimo privilegio y otorgar al agente de IA solo los permisos exactos necesarios para funcionar.