Anthropic, Google y Microsoft corrigieron en silencio fallos en agentes de IA sin CVE ni avisos

El problema de los agentes de IA en el desarrollo de software no era teórico. El investigador de seguridad Aonan Guan demostró que las herramientas de Anthropic, Google y Microsoft integradas en GitHub Actions pueden ser secuestradas mediante prompt injection y convertidas en un canal de fuga de secretos. En los tres casos, al agente le bastó con leer un texto preparado por un atacante dentro de su contexto de trabajo habitual, y después publicó por sí mismo claves de API, tokens de GitHub y otros datos del entorno de CI.

El ataque se llama Comment and Control. Las instrucciones maliciosas no se esconden en un exploit aparte ni en un servidor externo, sino directamente en los datos de GitHub que el agente debe leer de todos modos para trabajar: el título de una pull request, la descripción de un issue, los comentarios y, en uno de los escenarios, incluso un comentario HTML oculto. Después, el agente interpreta ese texto no como datos, sino como una orden.

El esquema es sencillo. El bot lee la instrucción inyectada, ejecuta la acción solicitada, extrae secretos del entorno de ejecución de GitHub Actions y devuelve él mismo el resultado a GitHub, por ejemplo en un comentario de la PR, en un comentario de un issue, en un commit o en el log del pipeline.

En el caso de Anthropic, el componente vulnerable fue Claude Code Security Review, una GitHub Action que revisa las pull requests en busca de problemas de seguridad. Guan demostró que bastaba con inyectar un payload en el título de la PR para que el agente ejecutara comandos e incluyera el resultado en su respuesta JSON, que luego se publicaba como comentario. Según el investigador, el informe se envió a Anthropic el 17 de octubre de 2025.

La empresa asignó al problema una severidad CVSS de 9.4 y el 25 de noviembre pagó una recompensa de $100. La corrección consistió en una restricción parcial de llamadas peligrosas y en la actualización de la sección de security considerations de la documentación.

La empresa no publicó ni un security advisory ni un CVE específico.

Un escenario similar funcionó contra Gemini CLI Action de Google. Aquí el atacante añadía a un issue y a sus comentarios un texto que se hacía pasar por un fragmento de contexto de confianza y anulaba las instrucciones de protección del modelo. Como resultado, el agente publicaba su propia GEMINI_API_KEY como un comentario cualquiera. Según la cronología de Guan, Google recibió el informe el 29 de octubre de 2025 y pagó $1,337 el 20 de enero de 2026.

El caso de GitHub Copilot Agent, que forma parte de la línea de productos de Microsoft, fue aún más curioso: la instrucción maliciosa se colocaba en un comentario HTML invisible para las personas en el renderizado de Markdown, pero legible para el agente. Tras asignarle la tarea, Copilot seguía esas indicaciones pese a las capas de protección adicionales, como el filtrado del entorno, el secret scanning y las restricciones de red. GitHub cerró primero el informe como informative y, tras una segunda revisión, lo reabrió y pagó $500 el 9 de marzo.

Lo más preocupante no es el importe de las recompensas, sino el modelo de divulgación. Ni Anthropic, ni Google, ni GitHub emitieron avisos públicos en el formato habitual de la seguridad informática, y nunca se asignaron CVE a estos casos. Esto significa que los equipos que fijaron versiones antiguas de las actions o de las integraciones pueden no haberse enterado nunca del riesgo. Para los escáneres de vulnerabilidades, el problema prácticamente no existe, porque carece de un identificador estándar. Para los equipos de seguridad, es más difícil ponerlo bajo control, rastrearlo en registros y vincularlo a los procedimientos internos de parcheo.

Formalmente, las empresas pueden haber considerado que la prompt injection no es un fallo clásico de código, sino un efecto secundario de la arquitectura del agente. En la práctica, sin embargo, las consecuencias son las mismas que las de una vulnerabilidad crítica convencional: la fuga de claves de acceso y tokens del entorno donde se ejecuta la automatización.

La historia importa también porque golpea el supuesto básico de toda la ola de automatización con IA en el desarrollo. Al agente se le da a la vez acceso a entradas de usuario no confiables, a herramientas de ejecución de comandos y a secretos sensibles, porque de lo contrario no podría hacer un trabajo útil. Esa combinación es la que crea el riesgo sistémico. Si la industria sigue integrando estos agentes en la revisión de código, el triaje, el despliegue y el CI/CD sin un modelo adecuado de aislamiento y de divulgación de incidentes, ataques como estos dejarán de ser una excepción y pasarán a formar parte habitual del threat model.