Una plataforma de inteligencia artificial expuesta puede ser mucho más que un simple canal de mensajería; si tiene acceso a credenciales, datos corporativos o herramientas de red, puede convertirse en una vía de acceso hacia esos recursos. Una investigación reciente mediante un honeypot reveló cómo un atacante intentó utilizar un agente de IA para analizar y atacar infraestructuras reales.

Una plataforma de inteligencia artificial expuesta puede darle a un intruso algo más que un lugar para enviar mensajes. Si se conecta a credenciales almacenadas, datos de la empresa o herramientas de red, la plataforma también puede proporcionar una ruta hacia esos recursos.

Una investigación reciente con un honeypot (sistema señuelo) muestra cómo un atacante intentó utilizar un agente de IA para estudiar una infraestructura real y preparar actividades posteriores.

El incidente involucró a Flowise, una plataforma de código abierto para construir flujos de trabajo de IA. A finales de agosto de 2026, un honeypot de Flowise sin autenticación recibió solicitudes para inspeccionar el servicio, listar sus flujos de trabajo y recuperar credenciales almacenadas.

El honeypot era un señuelo, no un sistema de producción real; estaba diseñado para registrar la actividad sin ejecutar comandos reales del sistema ni un modelo de lenguaje real.

Analistas del equipo de Detección de Amenazas e Investigación de Sekoia identificaron la actividad y documentaron cómo el intruso pasó de comprobaciones básicas a intentos de hacer un mal uso del agente de IA.

Su informe describe a un operador que intentó obtener datos sensibles y convertir el chatbot en un asistente para examinar otros servidores. La investigación de Sekoia indica que la actividad abusó principalmente de las funciones de Flowise en lugar de basarse en un fallo de software.

Convertir un chatbot de IA en una herramienta

El atacante primero comprobó si el servicio Flowise estaba disponible y consultó su versión y la configuración de los nodos. Luego solicitó listas de flujos de chat y credenciales, seguido de solicitudes de detalles vinculados a credenciales específicas.

Esos pasos podrían revelar claves de servicios de IA y detalles de acceso a bases de datos en una instalación real mal protegida. La actividad inicial duró unos tres minutos, luego se detuvo durante poco más de dos horas antes de realizar un escaneo más amplio de las rutas de la API.

El informe señala que el comportamiento se parecía al acceso no autenticado asociado con el CVE-2024-31621, pero afirma que ese fallo en particular no fue explotado en el honeypot.

Se solucionó en Flowise 1.6.6 y se incluyó en el informe solo para describir el patrón observado. Por separado, el informe de vulnerabilidades de Flowise cubre los riesgos vinculados a instalaciones de Flowise expuestas y credenciales sensibles.

Después de probar solicitudes de inferencia básicas, el operador intentó renombrar un flujo de trabajo existente y crear uno nuevo llamado “System Status”. El nuevo flujo de trabajo incluía un nodo de solicitud HTTP dirigido a un servidor externo.

Si un flujo de trabajo similar se ejecutara en un entorno real, podría hacer que el servidor Flowise contactara con una infraestructura controlada por el atacante. Sekoia describió esto como un mal uso de una función legítima de solicitud saliente, en lugar de un exploit de software confirmado.

Prompts dirigidos al agente de IA

El atacante también envió prompts diseñados para sondear las capacidades del agente. Le pidió que revelara sus instrucciones del sistema, utilizara herramientas, ejecutara comandos, recordara un código de acceso plantado y revelara conversaciones de otros usuarios.

Estos intentos son ejemplos de inyección de prompts: instrucciones diseñadas para desviar un sistema de IA de su función prevista o de sus salvaguardas.

Los prompts también intentaron acceder a datos conectados a un flujo de chat financiero simulado. El atacante afirmó estar realizando una auditoría autorizada y pidió al agente que consultara una base de datos y resumiera registros financieros.

Sekoia afirma que el operador intentó más tarde que el agente realizara un reconocimiento contra un host interno simulado. Debido a que el honeypot no ejecutaba un modelo real ni comandos del sistema, la evidencia muestra intentos, no un acceso exitoso a registros o sistemas reales.

La actividad luego se desplazó hacia un objetivo real. Los prompts incluyeron detalles sobre un servidor de monitoreo Nightingale, datos de Redis y una plataforma de juegos de azar en línea que opera en partes de Asia.

El atacante solicitó un análisis del objetivo y orientación sobre debilidades y rutas de acceso. Sekoia evaluó que la información sugería un operador de habla china y un interés en el sector de los juegos de azar en línea, pero dijo que no había evidencia suficiente para vincular la actividad con un grupo conocido.

Este caso es parte de una preocupación más amplia sobre los agentes que combinan prompts de lenguaje natural con herramientas, bases de datos o permisos de nube. Un informe separado sobre agentes de IA y credenciales de nube describe cómo la inyección de prompts puede volverse más grave cuando un agente puede acceder a servicios o secretos.

La investigación sobre trampas para agentes de IA también examina cómo el contenido no confiable puede afectar las decisiones y la memoria de un agente. El riesgo clave no es que un chatbot pueda responder preguntas.

Es que un agente pueda actuar basándose en sus respuestas llamando a herramientas, realizando solicitudes de red o leyendo datos conectados. Un prompt por sí solo no debería otorgar acceso, pero una autenticación débil, permisos amplios y rutas de red sin restricciones pueden darle al atacante más espacio para trabajar.

Si utilizas Flowise o plataformas similares, debes restringir las interfaces administrativas a usuarios y redes autorizadas, revisar quién puede leer o cambiar los flujos de trabajo y almacenar solo las credenciales que cada agente necesite.

Tú y tu equipo también deberíais limitar las conexiones salientes, monitorear solicitudes inusuales a las API de flujos de trabajo y credenciales, y requerir la aprobación humana antes de que un agente tome acciones con impacto sensible. Sekoia recomienda una autenticación fuerte, límites de permisos estrictos y el monitoreo de la inyección de prompts y el mal uso de las capacidades del agente.

Fuentes:
https://cybersecuritynews.com/ai-chatbot-into-a-tool/