Se ha revelado una vulnerabilidad en AWS Kiro, un entorno de desarrollo integrado (IDE) basado en IA, que permite la ejecución remota de código en el equipo de un desarrollador. El fallo permite que una línea de texto oculta en una página web evada el modelo de seguridad de la plataforma, superando incluso el principio de "humano en el bucle" que requiere la aprobación del usuario para realizar acciones peligrosas.

Una vulnerabilidad revelada recientemente en AWS Kiro, un Entorno de Desarrollo Integrado (IDE) impulsado por IA, revela cómo una línea de texto oculta en una página web puede ser explotada para la ejecución remota de código en la máquina de un desarrollador, saltándose el modelo de seguridad de la plataforma.

Kiro opera bajo el principio de "humano en el bucle", requiriendo tu aprobación para acciones potencialmente peligrosas, como ejecutar comandos de shell o modificar archivos sensibles. Esta aprobación tiene como objetivo mantener el control humano sobre las acciones de la IA.

Sin embargo, los investigadores han demostrado que este límite de seguridad puede ser evadido silenciosamente mediante un ataque de inyección de prompts proveniente de contenido externo. La vulnerabilidad se deriva de la forma en que los modelos de lenguaje extenso (LLM) procesan la entrada.

A diferencia de los sistemas tradicionales que separan claramente los datos y las instrucciones ejecutables, los LLM tratan toda entrada como comandos potenciales, lo que convierte la inyección de prompts en un riesgo significativo.

Texto oculto en sitios web provoca RCE en AWS Kiro

En el caso de Kiro, este riesgo se ve exacerbado por permisos excesivos y una protección deficiente de los archivos de configuración críticos. El núcleo de esta vulnerabilidad es el archivo de configuración del Model Context Protocol ubicado en ~/.kiro/settings/mcp.json, que define las herramientas externas y sus comandos.

Kiro recarga y ejecuta automáticamente cualquier comando en este archivo cada vez que se modifica. Los investigadores descubrieron que este archivo no está protegido y puede ser alterado por el agente de IA utilizando herramientas internas sin tu aprobación.

Un atacante puede explotar esto insertando instrucciones ocultas en contenido web aparentemente inofensivo. Por ejemplo, cuando pides a Kiro que resuma una documentación o busque una página web, si esa página incluye cargas útiles (payloads) de inyección de prompts ocultas, Kiro seguirá actuando según esas instrucciones.

En una secuencia de ataque demostrada, un usuario obtiene contenido externo y Kiro procesa tanto el texto visible como el oculto. Las instrucciones inyectadas dirigen a Kiro a sobrescribir el archivo de configuración MCP con contenido malicioso.

Esto registra un servidor que ejecuta código arbitrario del sistema anfitrión. Una vez modificado, Kiro recarga y ejecuta el payload automáticamente, todo sin que tú te des cuenta.

Un exploit de prueba de concepto mostró cómo los atacantes podrían desplegar un payload ligero de Node.js para exfiltrar información del sistema, como el nombre del host, el nombre de usuario y detalles de la plataforma, hacia un servidor remoto.

Aunque la demostración se limitó a la recopilación de datos benignos, el mismo método podría usarse para robar credenciales o acceder al código fuente.

Lo más importante es que tú, como usuario, permaneces ajeno a la brecha, creyendo que solo has aprobado una solicitud web rutinaria. No se muestran advertencias sobre modificaciones de archivos o ejecución de código, y los avisos de seguridad sobre cambios de configuración no logran evitar la actividad maliciosa.

Según Nicole Fishbein de Intezer Research, la vulnerabilidad resalta la debilidad de tratar la aprobación del usuario como una barrera de seguridad en herramientas impulsadas por IA. Si un agente de IA puede modificar su entorno de ejecución sin salvaguardas adecuadas, el modelo de confianza subyacente se rompe.

Este riesgo es particularmente preocupante cuando el IDE tiene acceso a credenciales sensibles o infraestructura de producción. AWS ha solucionado este problema en versiones posteriores de Kiro, con correcciones confirmadas en la versión 0.11.130; sin embargo, no se le ha asignado un identificador CVE.

Este incidente resalta la necesidad urgente de salvaguardas más fuertes, especialmente en torno a los archivos de configuración críticos y los controles sobre acciones de alto riesgo.

A medida que los agentes de IA se integren más en los flujos de trabajo de desarrollo, este caso sirve como recordatorio de que los controles de seguridad deben imponerse a nivel de sistema, no solo a través del comportamiento del modelo. Incluso una línea de texto invisible puede convertir a un asistente de codificación útil en un vector de ejecución silencioso.

Fuentes:
https://cybersecuritynews.com/aws-kiro-remote-code-execution/