Un atacante puede tomar el control de toda tu red a través de tus propios agentes de IA
Un investigador independiente de seguridad ha revelado graves fallos en el protocolo que permite a los agentes de IA comunicarse entre sí. Estos fallos han sido explotados contra organizaciones como Google y JP Morgan Chase. El método de ataque, denominado pivotaje de protocolo, se propaga en silencio por una red sin levantar sospechas. La mayoría de las empresas no cuenta hoy con ningún tipo de protección.
Los agentes de IA son poderosos, y eso es precisamente lo que los hace peligrosos
Estamos en medio de una de las transformaciones más apasionantes de la historia empresarial moderna. Los agentes de IA —sistemas autónomos que planifican, toman decisiones y ejecutan tareas— se despliegan a un ritmo vertiginoso en todo el mundo. Atención al cliente, análisis de datos, revisión jurídica, informes financieros: los agentes asumen flujo de trabajo tras flujo de trabajo. Es una tendencia que acojo con entusiasmo.
Pero toda tecnología poderosa conlleva la responsabilidad de comprender su lado oscuro. Y en este momento se enciende una señal de alerta seria que muy pocos directivos han advertido.
Según Ars Technica, el investigador independiente de seguridad Syed Anas Mohiuddin ha probado durante los últimos cinco meses agentes de IA en una serie de organizaciones de peso, entre ellas Google, JP Morgan Chase, la agencia digital del Gobierno francés y varias autoridades federales de Estados Unidos. Los resultados son llamativos.
El reverso de la confianza: el pivotaje de protocolo como arma
El problema está integrado en la propia arquitectura. Los agentes de IA de una red empresarial se comunican entre sí mediante MCP — Model Context Protocol, el estándar que sostiene los sistemas modernos basados en agentes. Lo que hace poderoso a MCP es justo lo que lo hace vulnerable: los agentes están diseñados para confiar unos en otros.
El método de ataque que demuestra Mohiuddin se denomina pivotaje de protocolo y es una forma avanzada de inyección de prompts. En lugar de atacar directamente el modelo de lenguaje subyacente, el atacante dirige una instrucción maliciosa contra un agente específico, por ejemplo, un agente de traducción o una herramienta de análisis. Como ese agente se comunica con otros agentes de la cadena, la instrucción maliciosa puede recorrer sin obstáculos toda la red. Ningún agente cuestiona al remitente. La confianza es total, y ciega.
Es como introducir un mensaje falso en un nuevo empleado y dejar que los propios canales de comunicación de la organización lo difundan por toda la empresa.
Gravedad variable, pero un problema estructural común
La vulnerabilidad identificada en Rapid7 recibió una puntuación de gravedad modesta de 2,7 de 10 y ya ha sido corregida. Sin embargo, el fallo de Google se consideró mucho más grave: la puntuación fue de 8 de 10, y se debió a que una herramienta MCP para bases de datos inicializaba su cliente HTTP sin las medidas de seguridad necesarias.
Pero la verdadera novedad no es la gravedad de cada vulnerabilidad por separado, sino el patrón estructural. Cuando el mismo defecto de diseño básico aparece en Google, JP Morgan, organismos públicos franceses y agencias federales estadounidenses en el transcurso de cinco meses, no se trata de errores aislados. Es un fallo sistémico en la forma en que el sector ha construido la confianza entre agentes.
¿Qué deben hacer realmente las empresas?
Esto no es un motivo para frenar la adopción de la IA, sino un motivo para hacerlo de forma más inteligente. Estos son tres pasos concretos que toda organización debería dar ahora:
1. Haga un inventario de sus cadenas de agentes. ¿Sabe exactamente qué agentes se comunican con cuáles, y en qué condiciones? Si la respuesta es no, empiece por ahí.
2. Aplique el mínimo privilegio posible. Los agentes solo deben tener acceso a los recursos que necesitan realmente para su tarea, ni un ápice más. El principio de mínimo privilegio se aplica tanto a los agentes de IA como a los usuarios humanos.
3. Trate los resultados de los agentes como entradas no fiables. Establezca puntos de control donde la revisión humana o los filtros basados en reglas detecten instrucciones que se desvíen de los patrones esperados, especialmente en los flujos de trabajo críticos.
No es ciencia de cohetes. Es pensamiento básico de seguridad aplicado a una nueva realidad tecnológica. Y cuanto antes lo interioricen las empresas, más sólida será su posición, no solo en seguridad, sino también en competitividad.