Se ha descubierto que los escáneres de habilidades de IA de ClawHub, Cisco y Vercel pueden ser evadidos con un esfuerzo mínimo. Esto permite que habilidades maliciosas sean cargadas y distribuidas a través de mercados públicos, lo que evidencia un riesgo creciente en la cadena de suministro de los ecosistemas de agentes, donde dichos componentes pueden ejecutar código e influir en el comportamiento de los modelos.

Los escáneres de habilidades de IA de ClawHub, Cisco y skills de Vercel. La plataforma puede ser evadida con el mínimo esfuerzo, lo que permite que habilidades maliciosas sean cargadas y distribuidas a través de mercados públicos.

Los hallazgos resaltan un riesgo creciente en la cadena de suministro de los ecosistemas de agentes, donde las habilidades sirven como componentes reutilizables que pueden ejecutar código e influir en el comportamiento del modelo.

La investigación de Trail of Bits muestra que los atacantes pueden evadir los mecanismos de detección utilizando trucos simples de empaquetado y ofuscación en lugar de técnicas de explotación avanzadas.

En un caso dirigido a ClawHub, los investigadores insertaron más de 100,000 caracteres de salto de línea para empujar el código malicioso más allá de la ventana de inspección del escáner.

Esto causó un truncamiento en el flujo de análisis, permitiendo que la lógica dañina pasara desapercibida y, al mismo tiempo, confundiera a los motores de escaneo integrados, como Code Insight de VirusTotal.

Controles de habilidades de ClawHub, Cisco y Vercel evadidos

Pruebas adicionales contra el escáner de habilidades de código abierto de Cisco y las integraciones de skills.SH de Vercel revelaron debilidades adicionales. Estas plataformas dependen de una mezcla de análisis estático, coincidencia de patrones e inspección basada en LLM.

Sin embargo, los investigadores de Trail of Bits descubrieron que estas defensas pueden ser evadidas cuando el contenido malicioso se oculta en formatos menos obvios, como el bytecode de Python compilado (.pyc) o archivos basados en archivos como .docx.

Un ataque demostrado implicó una habilidad de formato de texto aparentemente benigna que incluía bytecode de Python precompilado.

Mientras que el código fuente visible parecía inofensivo, el bytecode extraía secretamente variables de entorno, permitiendo una posible exfiltración de datos.

Debido a que los escáneres se centraban principalmente en archivos de código fuente legibles, la carga útil maliciosa permaneció indetectada y fue clasificada como segura.

Otra técnica efectiva utilizó rutas de ejecución indirectas. Una habilidad instruyó al agente de IA para recuperar la lógica operativa de un documento que contenía un script oculto.

Este método evadió tanto la detección basada en firmas como el razonamiento del LLM, ya que el comportamiento malicioso no estaba expuesto directamente en la definición principal de la habilidad.

Los investigadores de Trail of Bits también utilizaron con éxito la inyección de prompts para manipular los escáneres basados en LLM. En un ejemplo, una habilidad disfrazó la configuración de un registro de paquetes maliciosos como una configuración empresarial estándar.

Al presentar el comportamiento como un requisito corporativo legítimo, el escáner redujo el riesgo a una severidad baja. Aprobó la habilidad, a pesar de su potencial para redirigir las instalaciones de dependencias hacia una infraestructura controlada por el atacante.

Estas evasiones subrayan limitaciones fundamentales en los enfoques de escaneo actuales. El análisis estático tiene dificultades con formatos de archivos complejos u ocultos. Al mismo tiempo, los sistemas basados en LLM pueden ser engañados por instrucciones persuasivas o enmarcadas contextualmente.

Además, restricciones como las ventanas de contexto limitadas y la inspección selectiva de archivos crean puntos ciegos que los atacantes pueden explotar repetidamente.

El problema se agrava por el rápido crecimiento de los mercados públicos de habilidades, donde puedes instalar habilidades de terceros con una verificación mínima.

A diferencia de los entornos curados, estas plataformas suelen priorizar la usabilidad y la velocidad sobre los controles de seguridad rigurosos, aumentando la exposición a cargas maliciosas.

Los investigadores de Trail of Bits concluyen que el escaneo automatizado por sí solo es insuficiente para asegurar los ecosistemas de habilidades de IA.

Recomiendan adoptar prácticas tradicionales de seguridad de la cadena de suministro, incluyendo repositorios curados, controles de acceso estrictos y el anclaje de versiones (version pinning).

Hasta que se desarrollen salvaguardias más fuertes, se aconseja a las organizaciones que traten todas las habilidades públicas de IA como código no confiable y eviten implementarlas en entornos sensibles.

Fuentes:
https://cybersecuritynews.com/clawhub-cisco-vercels-malicious-skill-detector-bypassed/