La integración de agentes de codificación con IA ha introducido nuevas y críticas superficies de ataque para los equipos de desarrollo. Phantom Labs en BeyondTrust descubrió recientemente una vulnerabilidad de inyección de comandos en OpenAI Codex. Esta falla permitía a los atacantes robar tokens de acceso de usuarios de GitHub. 

La integración de agentes de codificación con IA ha introducido nuevas y críticas superficies de ataque para los equipos de desarrollo.

Phantom Labs de BeyondTrust descubrió recientemente una vulnerabilidad crítica de inyección de comandos en OpenAI Codex. Este fallo permitía a los atacantes robar tokens de acceso de usuario de GitHub sensibles.

Al explotar la forma en que Codex maneja las solicitudes de creación de tareas, los actores maliciosos podían moverse lateralmente dentro del entorno GitHub de una organización utilizando los permisos exactos otorgados al agente de IA.

El exploit de inyección de comandos

OpenAI Codex es un asistente de codificación basado en la nube que se conecta directamente a los repositorios de GitHub de los desarrolladores.

Cuando un usuario envía un prompt, Codex inicia un contenedor gestionado para ejecutar tareas como generación de código o análisis de repositorios.

Los investigadores de BeyondTrust descubrieron que durante esta fase de configuración del contenedor, el sistema no saneaba correctamente la entrada.

En concreto, el parámetro del nombre de la rama de GitHub en la solicitud HTTP POST se pasaba directamente a los scripts de configuración del entorno.

Un atacante podía explotar esto inyectando un comando de shell en el nombre de la rama. Por ejemplo, una carga maliciosa podía forzar al sistema a enviar el token OAuth oculto de GitHub a un archivo de texto legible.

Luego, el atacante podía pedir al agente de Codex que leyera ese archivo, exponiendo el token en texto claro directamente en la interfaz web.

El peligro se extendía más allá del portal web a los entornos locales de desarrollo. Los investigadores descubrieron que las aplicaciones de Codex para escritorio almacenan credenciales de autenticación localmente en un archivo de autenticación.

Si un atacante obtenía acceso a la máquina de un desarrollador que ejecutaba Windows, macOS o Linux, podía robar estos tokens de sesión locales.

Al usar estos tokens locales comprometidos para autenticarse contra la API backend, el atacante podía recuperar todo el historial de tareas del usuario.

Este acceso al backend le permitía extraer los tokens de acceso de GitHub ocultos en los registros de tareas del contenedor. El ataque también podía automatizarse para comprometer a múltiples usuarios sin interactuar nunca con la interfaz de Codex.

Al crear una rama maliciosa directamente en un repositorio compartido de GitHub, un atacante podía activar el exploit contra cualquier persona que usara Codex en ese código base específico.

Para eludir las restricciones de nomenclatura de ramas de GitHub, que bloquean los espacios estándar, los atacantes sustituían los espacios con una carga útil que contenía un separador de campo interno.

También ocultaban hábilmente la carga maliciosa en la interfaz de usuario utilizando espacios ideográficos Unicode. Para una víctima desprevenida, la rama maliciosa parecía idéntica a la rama principal estándar.

Una vez que un usuario o proceso automatizado interactuaba con ella, la carga útil se ejecutaba silenciosamente en segundo plano, enviando su token de GitHub a un servidor externo controlado por el atacante.

Robo de tokens de instalación

Este ataque automatizado de ramas también funcionaba contra solicitudes de extracción automatizadas. Cuando un desarrollador etiquetaba al bot de Codex para realizar una revisión de código en una solicitud de extracción, el sistema iniciaba un contenedor de revisión de código.

Si el repositorio contenía la rama con el nombre malicioso, el contenedor automatizado ejecutaba la carga oculta, permitiendo a los atacantes robar el token de acceso de instalación de GitHub más amplio.

Esta vulnerabilidad tenía una calificación Crítica y afectaba al sitio web de ChatGPT, la CLI de Codex, el SDK de Codex y las extensiones de IDE de Codex.

OpenAI recibió la divulgación responsable en diciembre de 2025 y parcheó completamente el problema a finales de enero de 2026.

A medida que los asistentes de codificación con IA se integran profundamente en los flujos de trabajo de los desarrolladores, las organizaciones deben tratar los contenedores de agentes como límites de seguridad estrictos.

Los equipos de desarrollo y seguridad deberían adoptar estas prácticas:

• Sanea todas las entradas controlables por el usuario antes de pasarlas a comandos de shell.
• Nunca confíes en que los formatos de datos de proveedores externos sean inherentemente seguros.
• Audita los permisos otorgados a las aplicaciones de IA para aplicar el principio de mínimo privilegio.
• Supervisa los repositorios en busca de nombres de ramas inusuales que contengan metacaracteres de shell o espacios Unicode.
• Rota los tokens de GitHub con regularidad y revisa los registros de acceso en busca de actividad API inesperada.