Investigadores de SpecterOps han advertido que las nuevas capacidades de inteligencia artificial de Microsoft SQL Server 2025 presentan riesgos de seguridad críticos. Se ha demostrado que los atacantes pueden abusar de estas funciones legítimas para realizar la exfiltración sigilosa de datos y establecer comunicaciones de comando y control (C2) directamente desde el motor de la base de datos.

Están encontrando cada vez más formas nuevas de abusar de funciones empresariales legítimas, y las capacidades de IA recién introducidas en Microsoft SQL Server 2025 están generando serias preocupaciones de seguridad.

Investigadores de SpecterOps han demostrado que estas funciones integradas pueden aprovecharse para la exfiltración sigilosa de datos e incluso para la comunicación de comando y control (C2), todo desde el propio motor de la base de datos.

Microsoft introdujo SQL Server 2025 con integración de IA nativa para admitir cargas de trabajo modernas, como la Generación Aumentada por Recuperación (RAG). Sin embargo, estas mismas capacidades están siendo reutilizadas por los atacantes como potentes herramientas de post-explotación.

La investigación, junto con el código de prueba de concepto (PoC), ha sido publicada en GitHub, resaltando los riesgos reales de estas funciones.

Una de las adiciones más críticas es el procedimiento almacenado sp_invoke_external_rest_endpoint. Esta función permite que SQL Server envíe solicitudes HTTPS a puntos finales externos directamente, sin depender de métodos tradicionales como xp_cmdshell o PowerShell.

Aunque fue diseñada para la comunicación legítima de API, permite efectivamente que los atacantes exfiltren datos sensibles a través de canales cifrados.

Las funciones de IA de SQL Server 2025 permiten el robo de datos

La función admite cargas útiles de hasta 100 MB, lo que la hace muy eficiente para transferir grandes conjuntos de datos, como credenciales de usuario o registros de bases de datos.

En un escenario de ataque demostrado, una instancia de SQL Server comprometida con privilegios de sysadmin puede consultar tablas sensibles, convertir los datos a JSON y transmitirlos a un servidor controlado por el atacante utilizando este procedimiento.

Debido a que el tráfico se origina en el motor de la base de datos y utiliza HTTPS, puede evadir las herramientas de monitoreo tradicionales que se basan en detectar la ejecución de comandos sospechosos o conexiones salientes inusuales.

Otra función importante, CREATE EXTERNAL MODEL, permite que SQL Server se integre con modelos de IA externos. Esto se complementa con AI_GENERATE_EMBEDDINGS, que envía datos a estos modelos y recibe respuestas estructuradas.

Aunque están destinadas a aplicaciones impulsadas por IA, los investigadores mostraron que estas funciones pueden abusarse para establecer canales de comunicación encubiertos.

Los atacantes pueden codificar comandos y respuestas dentro de los datos de incrustación (embeddings) de la IA, haciendo que el tráfico parezca legítimo y sea difícil de detectar. Esta capacidad permite una nueva forma de infraestructura C2 que opera enteramente dentro de consultas SQL.

Al combinar llamadas a modelos externos con comprobaciones periódicas, los atacantes pueden crear puertas traseras persistentes que ejecuten comandos y devuelvan resultados sin desplegar malware tradicional.

En escenarios más avanzados, los atacantes pueden cargar ensamblados maliciosos de .NET CLR directamente en la memoria de SQL Server, eliminando la necesidad de cargas útiles basadas en disco y reduciendo aún más el riesgo de detección.

La investigación también resalta una técnica que involucra rutas UNC en las configuraciones de modelos de IA, lo que puede desencadenar intentos de autenticación NTLM a través de SMB.

Esto permite a los atacantes capturar o retransmitir hashes de autenticación dentro de una red. Aunque se informó a Microsoft, este comportamiento no fue clasificado como una vulnerabilidad de seguridad, lo que significa que sigue siendo explotable en los despliegues actuales.

La persistencia es otra preocupación. Los atacantes pueden crear disparadores (triggers) de base de datos que exfiltren automáticamente los datos recién insertados o actualizados.

Por ejemplo, cualquier credencial de usuario nueva añadida a una tabla puede ser enviada inmediatamente a un servidor externo sin interacción adicional. Esto convierte a la base de datos en un punto de fuga de datos continuo.

Desde el punto de vista defensivo, estos avances desafían las suposiciones de seguridad tradicionales. Históricamente, el tráfico web saliente de un servidor de base de datos se consideraba sospechoso.

Con SQL Server 2025 normalizando la comunicación HTTPS para las cargas de trabajo de IA, distinguir entre la actividad legítima y la maliciosa se vuelve significativamente más difícil.

SpecterOps recomienda aplicar controles estrictos sobre los privilegios de la base de datos, particularmente las cuentas de sysadmin, y monitorear estrechamente funciones como los puntos finales REST externos y las integraciones de modelos de IA para detectar posibles abusos.

Los controles a nivel de red, como restringir las conexiones salientes de los servidores de bases de datos, también pueden ayudar a mitigar el riesgo. Además, las organizaciones deben establecer una línea base de los patrones de tráfico normales relacionados con la IA para detectar anomalías de manera efectiva.

A medida que las capacidades de IA continúan integrándose en el software empresarial, este caso resalta una tendencia creciente en la que las funciones legítimas pueden ser convertidas en armas.

SQL Server 2025 demuestra cómo la innovación sin los controles de seguridad correspondientes puede expandir la superficie de ataque, obligándote a adaptar tus defensas rápidamente a un panorama de amenazas en constante evolución.

Fuentes:
https://cybersecuritynews.com/hackers-leverage-sql-server-2025-ai-features/