Se ha detectado un patrón de vulnerabilidad repetitivo en los agentes de programación de IA de Anthropic, Google y OpenAI. Estos fallos permiten a los atacantes lograr la ejecución remota de código (RCE), robar credenciales de API y comprometer las cadenas de suministro de software, todo ello sin necesidad de tener acceso privilegiado. Las vulnerabilidades fueron descubiertas por el investigador de seguridad Elad Meged al analizar las configuraciones predeterminadas de los proveedores en sus propios repositorios públicos.

Un patrón de vulnerabilidad repetible en los agentes de codificación de IA de Anthropic, Google y OpenAI que permite a los atacantes lograr la ejecución remota de código, robar credenciales de API y comprometer las cadenas de suministro de software, todo ello sin necesidad de tener ningún acceso privilegiado.

Los fallos fueron descubiertos por Elad Meged, investigador de seguridad de Novee, al probar la configuración predeterminada de cada proveedor en sus propios repositorios públicos; esto significa que la exposición no es teórica, sino que está activa en el código exacto que millones de desarrolladores ejecutan hoy en día.

El problema central no reside en los modelos de IA en sí, sino en el "arnés", el código circundante que gestiona los permisos de las herramientas, la ejecución y el sandboxing alrededor de cada agente.

El investigador Elad Meged descubrió que un solo problema (issue) de GitHub, abierto por un extraño anónimo sin privilegios, era suficiente para activar al agente e introducir cargas útiles de inyección de prompts que el arnés no lograba contener adecuadamente.

Debido a que estos agentes suelen ejecutarse de forma autónoma en pipelines de CI/CD sin que un humano revise cada acción, una instrucción maliciosa oculta en un problema o solicitud de extracción (pull request) puede llegar directamente a la ejecución del código.

Parche y evasión de Claude Code de Anthropic

En el propio repositorio de claude-code de Anthropic, los investigadores lograron la ejecución remota de código explotando un desajuste entre la lógica de validación de comandos de Claude y la forma en que el shell interpreta realmente las cadenas entrecomilladas, lo que permitió que un flag malicioso de git push –receive-pack evadiera veintitrés comprobaciones de seguridad y ejecutara código arbitrario en el ejecutor.

Después de que Anthropic parcheara el fallo, los investigadores encontraron una segunda evasión utilizando el comando de solo lectura tac para leer archivos arbitrarios, incluyendo la exfiltración de una clave API invertida a través de un log público de GitHub Actions.

Una tercera ronda utilizó el contador de descargas públicas de HuggingFace como un canal lateral encubierto para filtrar una clave API carácter por carácter, lo que finalmente se asignó el CVE-2026-54316.

Riesgo de la cadena de suministro de Gemini CLI de Google

Gemini CLI de Google, que se ejecuta en un repositorio con más de 106.000 estrellas y aproximadamente dos millones de instalaciones mensuales, sufrió dos fallos combinados: una lista blanca de herramientas de shell "restringida" que nunca se aplicó realmente en tiempo de ejecución, y un esquema de saneamiento del entorno que eliminaba los secretos del proceso hijo pero los dejaba totalmente expuestos en el proceso padre a través de /proc.

La combinación del acceso total al shell con credenciales fácilmente legibles permitió a los atacantes escalar desde un único problema anónimo hasta enviar código malicioso directamente a la rama principal, un compromiso que Google calificó con un CVSS 10.0 en su propio aviso de seguridad y solucionó con un cambio disruptivo en su modelo de confianza de ejecución sin cabeza.

Secuestro persistente de Codex de OpenAI

El flujo de trabajo de Codex de OpenAI en su propio repositorio ejecutaba dos pasadas de agente que compartían un único espacio de trabajo; y aunque OpenAI ya había protegido directorios sensibles como .git y .codex contra manipulaciones, pasó por alto AGENTS.md, el archivo de instrucciones predeterminado que el agente carga y confía en cada ejecución.

Los atacantes podían envenenar este archivo durante la primera pasada para que la segunda pasada, la "segura", heredara instrucciones maliciosas, junto con cualquier permiso elevado o token que llevara.

OpenAI solucionó su propio repositorio en tres días separando las dos pasadas en trabajos aislados, pero los investigadores advierten que el patrón subyacente de agente de pasadas múltiples sigue siendo ampliamente copiado en otros lugares.

Novee Security enfatiza que ninguno de estos fueron simples errores de configuración; fueron decisiones de seguridad correctas que fallaron en los puntos de transferencia entre diferentes partes de cada sistema.

Se encontraron los mismos valores predeterminados vulnerables ejecutándose en más de cien repositorios públicos más allá de los tres proveedores probados, lo que significa que cualquier organización que ejecute estos agentes de codificación en automatización probablemente haya heredado la misma exposición.

Los investigadores recomiendan que trates cada archivo que escribe un flujo de trabajo, y el propio flujo de trabajo, como una superficie de entrada no confiable, en lugar de asumir que los valores predeterminados del proveedor son seguros al instalarse.

Fuentes:
https://cybersecuritynews.com/critical-flaws-in-ai-coding-agents/