Se descubrió una vulnerabilidad en Kiro, el IDE de AWS, que permitía la ejecución remota de código mediante texto oculto en páginas web. El agente podía modificar su propio archivo de configuración sin aprobación del usuario, saltándose las medidas de seguridad. AWS ya ha corregido el fallo protegiendo rutas sensibles y exigiendo consentimiento explícito para escribir en archivos críticos.

El texto oculto en una página web fue suficiente para que Kiro (https://kiro.dev/), el IDE de codificación agentica de AWS, reescribiera su propio archivo de configuración y ejecutara el código de un atacante en la máquina de un desarrollador, sin que ningún paso de aprobación pudiera detenerlo.

Intezer, en una investigación con Kodem Security, descubrió que una solicitud tan ordinaria como pedirle a Kiro que resumiera una página podría terminar en una ejecución remota de código. AWS ha parcheado el problema y no se le ha asignado ningún CVE.

El modelo de seguridad de Kiro se basa en que un humano haga clic en "permitir". El agente puede ejecutar comandos de shell, obtener URLs y editar archivos, y el diseño asume que un desarrollador revisa cualquier cosa arriesgada antes de que suceda. Ese paso de aprobación es la barrera de seguridad, y el fallo permitió que un atacante la esquivara sin que al desarrollador se le ofreciera siquiera una opción.

El punto débil era el archivo que le indica a Kiro qué herramientas externas cargar. Kiro lee su lista de servidores del Protocolo de Contexto de Modelo y el comando exacto utilizado para iniciar cada uno desde ~/.kiro/settings/mcp.json.

Cuando ese archivo cambia, Kiro lo recarga y lanza cualquier cosa que describa, en el host, con los privilegios del desarrollador. En el momento de la investigación, Kiro podía escribir en mcp.json por sí mismo con su herramienta fsWrite, sin requerir aprobación, y recargarlo automáticamente.

Cualquiera que pudiera influir en el contenido de ese archivo podría registrar un servidor cuyo comando de inicio fuera código arbitrario, y este se ejecutaría en el momento en que Kiro se recargara.

Introducir texto en el contexto de Kiro es la parte fácil. El agente extrae contenido externo cada vez que un desarrollador le pide obtener una URL, leer documentación o buscar en la web. La prueba de concepto de Intezer (https://research.intezer.com/blog/2026/07/remote-code-execution-kiro/) plantó sus instrucciones en un texto blanco de un solo píxel (color:#fff;font-size:1px) en una página de documentación de API aparentemente normal.



El desarrollador ve una referencia de API limpia. Kiro lee el bloque oculto como una tarea de configuración, escribe el servidor malicioso en mcp.json y se recarga. En segundos, el servidor malintencionado se inicia y el código del atacante se está ejecutando.

En la demo de Intezer, la carga útil solo enviaba el nombre del host de la máquina, el nombre de usuario y la plataforma cada diez segundos, lo justo para probar la ejecución. La misma primitiva podría ejecutar cualquier comando disponible para el desarrollador, suficiente para robar credenciales y código fuente, plantar persistencia o pivotar hacia cualquier sistema interno al que puedan llegar.

Los investigadores mantuvieron su callback apuntando a localhost para que ningún usuario real de Kiro quedara expuesto, y señalan que el ataque no es perfectamente fiable: el modelo es no determinista y puede resumir la página e ignorar el bloque oculto. En sus pruebas, funcionó en uno o dos intentos. Un solo éxito es todo lo que se necesita.

Kiro, en algunos casos, mostró una ventana emergente diciendo que la configuración de MCP había cambiado y pidiendo aprobación. No sirvió de nada. La configuración se recargaba independientemente de lo que el desarrollador hiciera clic, por lo que la advertencia no ofrecía una protección real. La única acción que el desarrollador aprobó realmente fue la obtención de una URL.

Kiro ya había estado aquí antes

Un agente capaz de escribir el archivo que gobierna lo que se le permite ejecutar ha aparecido en Kiro anteriormente. El día del lanzamiento de Kiro en julio de 2025, Johann Rehberger de Embrace The Red (https://embracethered.com/blog/posts/2025/aws-kiro-aribtrary-command-execution-with-indirect-prompt-injection/) mostró la misma maniobra de escritura en mcp.json para ejecución: una inyección de prompt dejó código personalizado en un archivo de configuración de MCP y lo ejecutó en el momento en que se guardó el archivo.

También señaló una segunda ruta, escribiendo en .vscode/settings.json para permitir comandos de shell en la lista blanca. La respuesta de AWS, Kiro 0.1.42, añadió un aviso de aprobación para esas escrituras, pero solo en el modo Supervisado (https://aws.amazon.com/security/security-bulletins/AWS-2025-019). El modo Autopilot por defecto seguía escribiendo el archivo por su cuenta, y ese es el modo que utilizó la cadena de Intezer en 2026. Tampoco se emitió ningún CVE entonces.

Otros encontraron versiones similares de la misma clase. Cymulate informó que Kiro ejecutaba automáticamente código escrito en .vscode/tasks.json cuando se abría una carpeta. AWS le asignó el CVE-2026-10591 (8.8 bajo CVSS 3.1, 8.6 bajo CVSS 4.0) y lo solucionó en la serie 0.11.

La cadena de mcp.json de Intezer seguía activa en las versiones 0.9.2 (macOS) y 0.10.16 (Ubuntu) cuando la empresa lo informó en febrero de 2026, y se confirmó que fue parcheado en la v0.11.130.

La respuesta de AWS fue dejar de confiar en el juicio del modelo sobre estos archivos y trasladar la comprobación a la plataforma. Kiro ahora marca mcp.json, .vscode/tasks.json, el directorio .git y otros archivos sensibles como rutas protegidas (https://kiro.dev/docs/privacy-and-security/#protected-paths), requiriendo cada uno una aprobación explícita antes de una escritura.

Su propia documentación lo deja claro: "El modo Supervisado es un flujo de trabajo de revisión de código, no un control de seguridad". El lanzamiento 1.0 que siguió se apoya más en el mismo principio, con un modelo de permisos basado en capacidades (https://kiro.dev/docs/whats-new-1-0/) que solicita el consentimiento para cualquier cosa que el desarrollador no haya permitido ya.

Esa combinación cierra la ruta que tomó Intezer: Intezer confirmó que el ataque falló en la 0.11.130 y, a diferencia del arreglo de 2025, la comprobación de rutas protegidas se mantiene tanto en el modo Autopilot como en el Supervisado.

Intezer informó del fallo a través de HackerOne el 11 de febrero de 2026, y para el 3 de abril AWS dijo que la corrección se había enviado en su última versión, aunque nunca nombró la versión; los investigadores lo confirmaron ellos mismos en la v0.11.130.

No se ha asignado ningún CVE: The Hacker News no encontró ninguno para el hallazgo en la Base de Datos Nacional de Vulnerabilidades hasta el 21 de julio de 2026, y AWS no publicó ninguna lista completa de compilaciones afectadas. Intezer no informó de ninguna explotación en condiciones reales, y sus pruebas cubrieron el IDE de Kiro; no determinó si las compilaciones separadas de Kiro CLI o Web compartían el fallo.

Las compilaciones actuales están en la línea 1.0.x, con la 1.0.165 listada como la más reciente al 21 de julio de 2026, y cualquiera que tenga una versión anterior debería actualizarse desde la página de descargas de Kiro (https://kiro.dev/downloads/).

The Hacker News se ha puesto en contacto con AWS para obtener la confirmación de las versiones afectadas de Kiro y por qué no se asignó ningún CVE, y actualizará esta historia con cualquier respuesta.

Durante aproximadamente un año, tres esfuerzos de investigación independientes encontraron el mismo tipo de error en Kiro: un agente editando silenciosamente los archivos que deciden qué se le permite ejecutar. Kiro no está solo: en diciembre de 2025, los investigadores catalogaron más de 30 fallos en herramientas de codificación de IA, entre ellas Cursor y Copilot, todos convirtiendo funciones legítimas del editor en rutas de inyección de prompts para la ejecución de código o el robo de datos.

Las correcciones actuales apuntan todas a la misma lección: el control que funciona reside en la plataforma, aplicado en cada modo y fuera de cualquier cosa que se le pueda decir al modelo que cambie.

A medida que más del flujo de trabajo de desarrollo se traslada a agentes que leen la web abierta, un humano en el circuito solo funciona como control si al humano se le muestra el paso que importa, y la plataforma mantiene la línea incluso después de que el modelo haya sido completamente convencido de cruzarla.

Fuente:
THN