Una vulnerabilidad basada en symlinks afecta a seis agentes de IA para programar, entre ellos Amazon Q y Cursor

Los especialistas de Wiz han descubierto un viejo truco de Unix basado en enlaces simbólicos (symlinks) que permite eludir los mecanismos de protección integrados de seis populares agentes de IA para programar, desde Amazon Q hasta Cursor.

Cómo funciona el ataque

La idea del exploit es sencilla y, a la vez, insidiosa: el atacante prepara de antemano un repositorio con un enlace simbólico malicioso y lo publica en abierto. Cuando un agente de IA abre ese repositorio y empieza a trabajar con sus archivos, el symlink disfraza una ruta peligrosa como si fuera un archivo normal del proyecto. Como resultado, el agente literalmente «pasa de largo» ante su propio prompt de protección, el mecanismo que debería detener la ejecución de comandos sospechosos o potencialmente peligrosos.

Al final del ataque, el atacante puede colocar en el repositorio una clave de acceso que le abre la máquina de trabajo del desarrollador. La herramienta a la que el desarrollador confió el trabajo autónomo con el código se convierte así en la puerta de entrada para comprometerlo.

Qué herramientas están en riesgo

Los investigadores de Wiz señalan que la vulnerabilidad afecta al menos a seis populares agentes de IA para escribir código. El material menciona por su nombre a Amazon Q, de Amazon, y a Cursor, ambos muy utilizados por los desarrolladores para escribir, revisar y corregir código de forma autónoma. Resulta revelador que la brecha no explote una técnica de ataque nueva, sino el mecanismo de enlaces simbólicos, conocido desde hace décadas en los sistemas Unix; la diferencia es que ahora golpea a una clase de herramientas completamente nueva, en la que los desarrolladores delegan permisos reales para ejecutar comandos.

El mecanismo de symlinks se considera desde hace décadas una fuente conocida de problemas de seguridad en los sistemas tipo Unix, pero ha sido la amplia adopción de agentes de IA autónomos, que leen y ejecutan por su cuenta el contenido de los repositorios, lo que ha dado a este viejo truco un nuevo peligro práctico.

• La vulnerabilidad la descubrió Wiz, empresa especializada en ciberseguridad en la nube
• Se utilizó un truco clásico de Unix con enlaces simbólicos (symlinks)
• Se ha confirmado la vulnerabilidad de al menos seis agentes de IA para programar, entre ellos Amazon Q y Cursor
• El resultado del ataque es una clave de acceso que abre al atacante la máquina del desarrollador

Qué significa esto

El caso de los symlinks demuestra que la autonomía de los agentes de IA a los que se confía el trabajo con el código y el sistema de archivos crea una nueva superficie de ataque. Fallos antiguos en mecanismos básicos del sistema se vuelven de repente realmente peligrosos, porque ya no los procesa una persona cautelosa, sino un agente con amplios permisos para ejecutar comandos y un contexto mínimo para sospechar de la trampa. Para los equipos que ya han conectado agentes de IA a repositorios reales y a máquinas de producción, es un motivo para revisar qué permisos tiene el agente por defecto y cómo se verifican los archivos antes de que empiece a trabajar con ellos.

El hallazgo de Wiz también recuerda que los prompts de protección y las restricciones integradas de los agentes de IA no son una barrera absoluta, sino solo una capa de defensa más, que puede eludirse con técnicas bastante clásicas sin relación directa con el propio modelo.

Preguntas frecuentes

¿Qué agentes de IA para programar resultaron vulnerables?

Wiz habla de al menos seis herramientas populares para escribir código con IA; el material menciona por su nombre a Amazon Q y Cursor, ambas usadas por los desarrolladores para trabajar de forma autónoma con repositorios.

¿Qué obtiene el atacante con el ataque?

Una clave de acceso que le abre la máquina de trabajo del desarrollador: el repositorio infectado se convierte en una vía para comprometer el entorno de quien lo abrió a través de un agente de IA vulnerable.

¿Por qué se considera este ataque especialmente peligroso?

Porque no aprovecha una vulnerabilidad de un modelo concreto, sino un truco clásico y conocido desde hace tiempo en los sistemas Unix con enlaces simbólicos. Por tanto, es potencialmente aplicable a cualquier agente de IA que lea y ejecute de forma autónoma el contenido de los repositorios sin una verificación estricta de este tipo de rutas.