Investigadores de Hong Kong revelaron que los escáneres de seguridad para agentes de IA son fácilmente engañados por cambios simples en el código, permitiendo que malware robe credenciales o archivos. Para solucionar esto, propusieron SKILLDETONATE, una herramienta que analiza el comportamiento del programa en tiempo real en lugar de solo su apariencia. El estudio concluye que la defensa más efectiva es monitorear la ejecución del software y limitar los permisos de acceso de los agentes.

Los escáneres diseñados para detectar "skills" (habilidades) maliciosas para agentes de programación de IA pueden ser engañados con unos pocos cambios sencillos que dejan el malware funcionando, según un nuevo estudio de investigadores de la Universidad de Ciencia y Tecnología de Hong Kong.

Su truco más potente logró evadir todos los escáneres probados en más del 90% de las veces, y el mismo equipo creó un verificador en tiempo de ejecución que detecta la mayoría de las habilidades disfrazadas que los escáneres pasan por alto.

Las skills son paquetes pequeños, generalmente un archivo de instrucciones en Markdown más algunos scripts, que agentes como Claude Code, OpenAI Codex y OpenClaw cargan para adquirir una nueva capacidad. Debido a que una skill es solo un conjunto de archivos, la misma puede ejecutarse en diferentes agentes. Y se ejecuta con el propio acceso del agente: tus archivos, tu terminal, tus contraseñas guardadas.

Una skill maliciosa puede robar credenciales, copiar código fuente o instalar una puerta trasera. La mayor parte de lo que aparece en un mercado público es subido por desconocidos con muy poca supervisión.

La defensa principal hasta ahora ha sido el escáner de skills, que lee los archivos de una habilidad antes de que la instales y bloquea cualquier cosa que parezca peligrosa. El artículo, titulado "Cloak and Detonate", pone a prueba si esto realmente funciona. La respuesta es que no. Aunque burlar los escáneres no es algo nuevo. The Hacker News ha informado sobre investigadores que lograron pasar una skill falsa a través de cada escáner que enfrentaron, lo que, según la propia firma, llegó a decenas de miles de agentes. Lo que este artículo añade es una forma de hacerlo sistemáticamente, a escala, y una defensa que sigue funcionando cuando ocurre.

Cómo pasan las habilidades disfrazadas

La herramienta de los investigadores, SKILLCLOAK, reescribe una skill maliciosa para que parezca limpia mientras se comporta exactamente igual. Funciona de dos maneras.

La más ligera reescribe los bytes reveladores en los que se basa un escáner, utilizando sus propios operadores: cambiar un carácter por uno similar de otro alfabeto, o dividir un comando marcado en una nueva línea, de modo que el patrón del escáner ya no coincida, pero el comando se siga ejecutando.

La más pesada, el empaquetado autoextraíble, mueve toda la carga útil a un directorio que el escáner omite, como .git/, detrás de un decodificador de apariencia inofensiva que reconstruye la skill solo cuando el agente la ejecuta. Los escáneres omiten tales directorios para ahorrar tiempo y reducir las falsas alarmas, que es exactamente el punto ciego que explota el truco. En ocho escáneres y 1,613 skills maliciosas reales extraídas de ClawHub, un mercado público, el truco del empaquetado superó a cada uno de los ocho más del 90% de las veces, y a la mayoría de ellos en más del 99%.

La reescritura ligera superó el 80% en la mayoría de los escáneres y el 96% en uno. Y el disfraz no le cuesta casi nada al atacante: en Claude Code y OpenAI Codex, las skills disfrazadas funcionaron tan bien como las originales.

Vigilar lo que hace una skill, no cómo se ve

Dado que la apariencia puede ser falsificada, los investigadores proponen verificar el comportamiento en su lugar, en una herramienta que llaman SKILLDETONATE. Esta ejecuta la skill en un entorno aislado (sandbox) y observa lo que hace a nivel de sistema operativo: qué lee, qué escribe y a dónde envía los datos.

Dos ideas hacen que funcione para los agentes. Rastrea los datos sensibles por dónde fluyen en lugar de cómo se ven, por lo que el base64 o el cifrado no lo confunden. Y ejecuta las instrucciones que construye una skill solo en el tiempo de ejecución, que es exactamente donde el truco del empaquetado oculta su carga útil.

En una prueba controlada, el verificador detectó el 97% de los ataques mientras marcaba erróneamente el 2% de las skills seguras, una tasa de falsas alarmas inferior a la de los escáneres que vence, y se mantuvo estable cuando las skills estaban disfrazadas. En skills maliciosas del mundo real, detectó el 87%.

El escáner de Cisco, el más fuerte probado, hizo lo contrario: detectó el 99% de las skills del mundo real antes del disfraz y aproximadamente el 10% después.

El inconveniente es la velocidad: un par de minutos por skill frente a los pocos segundos de un escáner, aunque se ejecuta una sola vez antes de que la skill entre en funcionamiento. El trabajo es un preprint y aún no ha sido revisado por pares; los investigadores han liberado su código.

Ya está sucediendo en el mundo real

Nada de esto es hipotético. Los mercados públicos ya están llenos de skills maliciosas que los escáneres no están deteniendo: Bitdefender encontró que aproximadamente el 17% de las skills que revisó en un mercado contenían código malicioso oculto, y Koi Security contó 341 en una sola campaña que llamó ClawHavoc, y más tarde 824 a medida que el mercado crecía.

Algunas utilizan los trucos exactos del artículo. De cinco skills evasivas que Unit 42 encontró que aún estaban activas en ClawHub a pesar de su escaneo integrado, una, omnicogg, rellenó su README con 22 MB de basura para evadir el límite de tamaño del escáner, el mismo operador de relleno de tamaño que prueba el artículo. Otras dos entregaban robadores de contraseñas de Mac, y dos más secuestraron los consejos financieros del agente para promocionar enlaces de afiliados y manipular lanzamientos de meme-coins.

La brecha del tiempo de ejecución también aparece fuera de los mercados de skills. Un repositorio de GitHub de apariencia limpia llevó recientemente a Claude Code a abrir una shell inversa en la propia máquina del desarrollador, entregando el control remoto al atacante. El código malicioso nunca estuvo en el repo; el script de configuración lo obtuvo en tiempo de ejecución desde un registro DNS, por lo que un escaneo estático no tuvo nada que capturar. El equipo 0DIN de Mozilla rastreó la cadena.

Un fallo relacionado afecta a las descripciones de herramientas que los agentes leen a través del Protocolo de Contexto de Modelo (MCP). Microsoft advirtió que una descripción envenenada, cambiada después de que la herramienta fuera aprobada, empujó silenciosamente a un agente financiero a filtrar facturas impagadas. El mecanismo es diferente, pero la suposición errónea es la misma: que lo que pasó la revisión es lo que se ejecuta.

Vale la pena mencionar algunas limitaciones claramente. Nadie ha capturado aún a atacantes utilizando estos trucos de empaquetado exactos a escala; los casos del mundo real aquí son evasiones adyacentes, no SKILLCLOAK en sí. El verificador de tiempo de ejecución es un prototipo de investigación, fuerte en el laboratorio pero no probado en un mercado en vivo o bajo un atacante que intente evadirlo activamente. Y cada número de rendimiento es de los propios autores, de un artículo que no ha sido revisado por pares. La dirección está bien evidenciada; las cifras específicas merecen la precaución habitual debida al trabajo temprano de un solo grupo.

Esa es la verdadera lección, y es donde converge una línea creciente de trabajo. Un escáner juzga una skill por cómo se ve cuando se envía, pero el comportamiento malicioso solo aparece una vez que la skill se ejecuta, después de que el escaneo haya pasado. Por lo tanto, la decisión de confianza debe trasladarse de la puerta del mercado a la máquina donde se ejecuta la skill.

¿Qué buscar? Las evasiones del artículo dejan señales que un defensor puede buscar, incluso en una skill que pasó un escaneo:

* Archivos grandes o de alta entropía escondidos en directorios que un escáner tiende a omitir, como .git/ o build/.
* Skills que descomprimen o ensamblan código solo cuando se ejecutan, en lugar de enviarlo a plena vista.
* Archivos rellenados mucho más allá de un tamaño sensato, el truco que desliza una skill bajo el límite de tamaño de un escáner.

Ninguno de estos es una prueba por sí solo. Son primeras banderas económicas, no un veredicto.

Para los equipos que utilizan agentes de programación, esto convierte la insignia de "pasó el escaneo" en un punto de partida, no en una garantía. Mantén el escaneo estático como una higiene económica, pero vigila lo que hace una skill cuando se ejecuta: los archivos que toca, los comandos que ejecuta y a dónde envía los datos.

El artículo también ofrece soluciones temporales concretas, como generar el hash de una skill cuando es escaneada y volver a comprobarlo antes de cada ejecución para capturar cargas útiles que se descompriman más tarde, y marcar las skills que envían blobs opacos en carpetas ignoradas o rellenan archivos más allá de un límite de tamaño. Ninguna de estas cierra la brecha por sí sola, que es el punto: la defensa duradera es vigilar el comportamiento en tiempo de ejecución.

Más allá de eso, instala solo desde una fuente verificada, da a los agentes el acceso mínimo que necesiten y no los ejecutes en máquinas que contengan secretos que valga la pena robar.

Fuente:
THN