Las herramientas de programación basadas en IA están transformando el desarrollo de software, pero también introducen nuevos riesgos de seguridad. Recientemente, se ha descubierto una vulnerabilidad en un asistente de IA donde Microsoft advirtió que Claude Code GitHub Action podría provocar la filtración de secretos en los flujos de trabajo de CI/CD.

Las herramientas de programación impulsadas por IA están cambiando rápidamente la forma en que los desarrolladores crean y lanzan software. Pero a medida que estas herramientas se integran en los flujos de desarrollo cotidianos, también están abriendo nuevas puertas a los atacantes.

Una vulnerabilidad descubierta recientemente en un asistente de programación de IA ampliamente utilizado muestra hasta dónde puede llegar ese riesgo.

Los investigadores descubrieron que los flujos de trabajo de GitHub Actions impulsados por IA pueden ser manipulados mediante simples entradas de texto, como comentarios en problemas (issues) o descripciones de solicitudes de extracción (pull requests).

Dado que estas entradas son leídas y ejecutadas por un agente de IA, un mensaje cuidadosamente redactado puede redirigir silenciosamente al agente para que haga cosas que nunca debió hacer.

Microsoft Threat Intelligence identificó el problema en la acción de GitHub de Claude Code de Anthropic, señalando que el agente de IA podría ser engañado para leer archivos de entorno sensibles dentro del ejecutor de CI/CD. El hallazgo fue compartido por Microsoft en un informe.

En el corazón del problema hay una brecha en cómo la herramienta maneja el acceso a archivos frente a la ejecución de comandos. Mientras que la herramienta Bash se ejecutaba dentro de un entorno seguro (sandbox) que eliminaba las variables de entorno, la herramienta de lectura (Read) no seguía las mismas reglas.

Esa inconsistencia dio a los atacantes un camino directo hacia credenciales que nunca debieron salir del sistema. Las consecuencias podrían ser graves para cualquier equipo que dependa de flujos de trabajo automatizados de IA en su canal de desarrollo.

Una clave de API filtrada podría permitir que un atacante suplante el flujo de trabajo, consuma recursos o obtenga un acceso más profundo a los sistemas conectados. El problema fue revelado responsablemente a Anthropic, que lanzó una corrección en la versión 2.1.128 de Claude Code el 5 de mayo de 2026.

Microsoft advierte que la acción de GitHub de Claude Code podría filtrar datos

La vulnerabilidad funcionaba a través de lo que los investigadores llaman inyección de prompts. Un atacante colocaría una instrucción oculta dentro de un problema de GitHub o una solicitud de extracción, escrita de manera que parezca inofensiva para un revisor humano, pero que sea tratada como un comando por el modelo de IA que lee el texto sin formato.

En las pruebas realizadas por el equipo de Microsoft, un prompt malicioso instruyó al agente para realizar una "revisión de cumplimiento". La redacción fue deliberada.

Esto evitó activar los filtros de seguridad integrados de Claude, que bloquean solicitudes obvias de imprimir claves de API. Al disfrazar la solicitud y decirle al modelo que recortara los primeros siete caracteres del resultado, el atacante evadió tanto la capa de rechazo de la IA como el Escáner de Secretos de GitHub.

La herramienta de lectura, una vez manipulada, accedió a /proc/self/environ directamente dentro de la memoria del proceso del ejecutor. Esto devolvió la ANTHROPIC_API_KEY sin limpiar, junto con otras credenciales presentes en el entorno.

A partir de ahí, el atacante podría reconstruir la clave completa y exfiltrarla a través de los canales que el flujo de trabajo permitía, incluyendo solicitudes web, comentarios en problemas o registros de acciones.

Microsoft señaló que la cadena de ataque se mapea con varias técnicas de MITRE ATLAS, incluyendo la Inyección de Prompts de LLM, Invocación de Herramientas de Agente de IA, Jailbreak de LLM y Recolección de Credenciales de Herramientas de Agentes de IA. El exploit completo no requirió ningún acceso especial, solo la capacidad de abrir un problema o enviar una solicitud de extracción.

Fortalecimiento de los flujos de trabajo CI/CD impulsados por IA

El equipo de Microsoft planteó pasos prácticos para los defensores. El principio más importante que introdujeron es la "Regla de Dos para Agentes".

Un flujo de trabajo de IA nunca debe combinar las tres siguientes condiciones al mismo tiempo: procesar entradas no confiables, acceder a secretos sensibles y realizar acciones externas o modificar el estado.

Tú y tu equipo deberíais aplicar controles estrictos de privilegio mínimo a cada token y clave de API conectada a un flujo de trabajo. Cada clave debe estar limitada solo a lo que ese flujo de trabajo específico necesita, y el uso debe ser monitoreado a nivel de proveedor para detectar actividades inusuales.

Las alertas vinculadas a nuevas direcciones IP o llamadas a endpoints inesperados pueden darte una advertencia temprana.

A nivel de prompt, Microsoft recomienda fortalecer el prompt del sistema para que el agente entienda claramente qué cuenta como datos y qué cuenta como una instrucción.

Un prompt de sistema bien escrito debe nombrar las superficies que el agente lee, como los cuerpos de los problemas o los diffs de las solicitudes de extracción, y dejar claro que todo ese contenido no es confiable.

Anclar el agente a una única tarea definida reduce las posibilidades de que sea desviado de su curso por una carga útil ingeniosamente redactada.