Los agentes de programación de IA como Claude Code, Cursor y OpenAI Codex están apareciendo cada vez más en entornos empresariales, y la nueva telemetría muestra que están activando involuntariamente detecciones de seguridad vinculadas al acceso a credenciales y a los binarios de uso legítimo (LOLBins).

Un análisis reciente del motor de comportamiento CIXA de Sophos destaca cómo estas herramientas desdibujan la línea entre la automatización benigna y la actividad típicamente asociada con los atacantes.

Los hallazgos se basan en la telemetría de endpoints de Windows recopilada durante siete días en junio de 2026. Los datos de detección muestran que las reglas mapeadas a las tácticas de MITRE ATT&CK, como el Acceso a Credenciales y la Ejecución, generaron la mayor cantidad de alertas.

Aunque ninguna de las actividades observadas fue confirmada como maliciosa, gran parte de ellas se asemejaba estrechamente a técnicas conocidas de adversarios.

Una parte significativa de las detecciones provino de comportamientos de acceso a credenciales. Una de las reglas activadas con más frecuencia, Creds_3b, detecta procesos que utilizan la API de Protección de Datos de Windows (DPAPI) para descifrar credenciales almacenadas en el navegador.

Este comportamiento se observó repetidamente cuando los agentes de IA realizaban tareas de automatización del navegador utilizando herramientas como el paquete de habilidades GStack.

Por ejemplo, la capacidad /browse lanza una cadena de procesos que finalmente invocan PowerShell para decodificar datos protegidos.

Activadores de Claude Code, Cursor y Codex

En un comando observado, PowerShell utilizó funciones criptográficas de .NET para decodificar una entrada Base64 y descifrarla utilizando DPAPI bajo el contexto del usuario actual.

Los investigadores de Sophos señalaron que, aunque la actividad es legítima para la automatización del navegador, utiliza una técnica de infostealer muy conocida, lo que provoca que la regla de detección la marque correctamente a pesar de su propósito benigno.

Otras alertas relacionadas con credenciales involucraron scripts de Python generados por agentes de IA. En algunos casos, los agentes terminaron procesos del navegador con taskkill antes de ejecutar scripts que acceden a credenciales almacenadas.

Comandos adicionales incluyeron el uso de la utilidad integrada cmdkey de Windows para enumerar credenciales guardadas. Tal comportamiento, especialmente cuando se combina con indicadores como “--dangerously-skip-permissions”, normalmente activaría una investigación inmediata en un centro de operaciones de seguridad.

Más allá del acceso a credenciales, los agentes de IA también activaron alertas relacionadas con la ofuscación de la línea de comandos y el abuso de LOLBins. Un ejemplo implicó a OpenAI Codex intentando descargar un instalador de Python desde el sitio web oficial utilizando certutil.exe.

Al ser bloqueado, el agente pivotó hacia el uso de bitsadmin.exe, otra utilidad nativa de Windows que los atacantes suelen abusar. Esta lógica de reintento imita el comportamiento de un adversario que opera manualmente, donde se intentan múltiples técnicas hasta que una tiene éxito.

También se observaron mecanismos de persistencia. En un caso, Cursor utilizó un script de PowerShell para escribir un archivo VBScript en la carpeta de inicio de Windows, una acción marcada por las reglas de detección de persistencia.

Aunque la intención parecía estar relacionada con la configuración de la aplicación, escribir en ubicaciones de inicio fuera de instaladores confiables sigue siendo un comportamiento de alto riesgo.

La telemetría también incluyó detecciones bajo una categoría de “Interrupción”, que representa eventos de Protección Adaptativa contra Ataques (AAP).

Estos se activaron cuando los agentes de IA intentaron ejecutar binarios de baja reputación. Aunque no se confirmó que estos archivos fueran maliciosos, su falta de reputación global llevó al bloqueo automatizado.

En general, los datos muestran que los agentes de IA están remodelando la actividad base en los endpoints. Acciones que antes se consideraban indicadores fuertes de compromiso ahora están siendo realizadas por herramientas de automatización legítimas.

Sin embargo, el perfil de riesgo de estos comportamientos no ha cambiado. Descifrar credenciales, usar LOLBins para descargas y modificar ubicaciones de persistencia siguen siendo acciones inherentemente sensibles.

Este cambio presenta un desafío para los equipos de ingeniería de detección. Los controles de seguridad deben evolucionar para distinguir entre la automatización impulsada por IA confiable y las amenazas reales, sin debilitar las protecciones.

A medida que los agentes de IA se vuelvan más autónomos, las organizaciones necesitarán políticas claras que definan qué se les permite hacer a estas herramientas, junto con una mejor visibilidad de sus acciones.