Operadores alineados con Rusia están probando una nueva forma de hacer que la inteligencia artificial pase por alto el código malicioso. La técnica, llamada GuardBreaker, oculta una solicitud sensible a la seguridad dentro de un comentario de script aparentemente ordinario, con la esperanza de que un escáner de código de IA se niegue a continuar su trabajo.

La actividad fue observada durante una intrusión en fase inicial contra un objetivo en Ucrania. El VBScript fue diseñado para descargar e instalar MATCHBOIL, un cargador asociado exclusivamente con el grupo UAC-0099 y utilizado para introducir más cargas útiles en sistemas comprometidos.

Investigadores de Welivesecurity, la publicación de investigación de ESET, identificaron la táctica en un script de UAC-0099. El comentario solicitaba orientación sobre cómo construir un arma nuclear, contenido diseñado específicamente para activar los controles de seguridad de un modelo.

ESET señaló en un informe que este hallazgo es importante porque la IA se utiliza ahora habitualmente para clasificar archivos sospechosos y apoyar las investigaciones de malware.

Si un atacante logra que un escáner abandone un archivo antes de que llegue a las instrucciones dañinas, los equipos podrían perder tiempo o tratar erróneamente una muestra peligrosa como benigna.

Grupos alineados con Rusia utilizan la inyección de prompts GuardBreaker

GuardBreaker no altera lo que el VBScript hace cuando una víctima lo ejecuta. En su lugar, el texto hostil se coloca donde un analista o una herramienta automatizada pueden leerlo, convirtiendo el acto de inspeccionar el archivo en el objetivo del ataque.

Se trata de una forma de inyección de prompts: contenido no confiable dentro de un archivo llega a un modelo de lenguaje mientras está siendo analizado. El modelo puede tener dificultades para separar ese contenido de las instrucciones válidas, especialmente cuando sus barreras de seguridad están diseñadas para detener respuestas que involucren temas peligrosos o prohibidos.

En este caso, parece que UAC-0099 ha planificado defensas asistidas por IA junto con comprobaciones más familiares para herramientas de análisis, incluyendo IDA y Wireshark.

El grupo ya ha dependido de la entrega mediante phishing y de la familia MATCHBOIL, lo que hace que esta nueva táctica basada en comentarios sea una extensión notable de su manual de evasión.

El enfoque es simple, pero su efecto potencial es significativo. Un escáner que no devuelve resultados, o que se detiene con una negativa por seguridad, puede crear un punto ciego si un flujo de trabajo interpreta la falta de evaluación como algo inofensivo en lugar de como un motivo para investigar.

Tales ataques explotan una debilidad: mezclan material proporcionado por el atacante con instrucciones de análisis. Esa frontera puede fallar cuando los comentarios parecen inofensivos y permanecen inertes durante la ejecución.

La preocupación se extiende a las cadenas de suministro de software, donde paquetes maliciosos han incluido prosa que activa políticas o lenguaje repetido destinado a consumir el contexto de un modelo y ocultar las cargas útiles.

Por qué tú, como defensor, debes verificar los resultados de la IA

El caso demuestra por qué un modelo de IA no puede ser la única autoridad sobre si un código es seguro. Los equipos de seguridad deben mapear exactamente qué lee cada herramienta asistida por IA, dónde se sitúa en el proceso de decisión y qué procedimientos se inician cuando la herramienta falla, se niega, trunca el contenido o no puede finalizar el análisis.

Debes contrastar los hallazgos de la IA con otros motores, análisis estáticos y conductuales convencionales, y revisión humana.

Ese enfoque por capas es especialmente importante ya que los riesgos de inyección de prompts están afectando a más que el simple triaje de malware; los riesgos de inyección de prompts en LLM empresariales muestran cómo el lenguaje manipulado también puede influir en sistemas empresariales más amplios habilitados por IA.

Tú y tu equipo deberíais tratar las estructuras de archivos inusuales, el texto repetido excesivo y las instrucciones dirigidas al lector o al modelo como un contexto sospechoso, no como una guía confiable.

Un ataque relacionado de prompts de resumen de IA ilustra cómo el contenido oculto o repetido puede desviar la interpretación automatizada de lo que un usuario humano espera ver.

Los agentes de IA que pueden llamar a descompactadores, desofuscadores u otras herramientas externas necesitan salvaguardas adicionales porque esas conexiones amplían la superficie de ataque.

Permisos restringidos, una revisión cuidadosa de las llamadas a herramientas y la escalada de resultados incompletos pueden reducir la posibilidad de que un proceso de análisis manipulado se convierta en una ruta para la entrega o ejecución de malware.

Para las organizaciones que no cuentan con analistas las 24 horas, el punto esencial sigue siendo el mismo: la prevención debe conectarse con la detección y la respuesta.

Un archivo sospechoso debe ser examinado junto con la actividad en otras partes del entorno, para que la negativa de un modelo nunca sea la última palabra sobre una posible intrusión.