Friendly Fire la prueba que demuestra que un agente de IA puede ejecutar código y abrir la puerta a tu host

Un equipo del AI Now Institute publicó esta semana una prueba de concepto que abre un agujero inquietante en la forma en que muchas organizaciones ya delegan tareas de seguridad a agentes de IA: en vez de identificar código malicioso dentro de un repositorio, el agente puede ejecutar ese mismo código en tu máquina y convertirse en la vía de entrada. El estudio, bautizado como "Friendly Fire" y firmado por Boyan Milanov y Heidy Khlaaf, demuestra el riesgo cuando agentes con capacidad de ejecutar comandos funcionan en modos autónomos que aprueban acciones sin intervención humana.

En el experimento los investigadores trabajaron sobre implementaciones “de stock” de Claude Code (con builds de CLI indicadas y modelos Sonnet/Opus) y la versión de Codex de OpenAI, en configuraciones concretas con la opción de ejecución automática activada. El vector es simple y a la vez sutil: añadir al repositorio archivos aparentemente benignos y un script de comprobación (por ejemplo, security.sh en un README) que, al ser considerado parte del trabajo por el agente, se ejecuta sin aviso y lanza un binario oculto con la carga útil. Para evitar la detección, los atacantes pueden acompañar ese binario con un archivo fuente inocuo y copiar cadenas de texto del código fuente para que las comprobaciones de desensamblado parezcan concordantes. Nada en el código del proyecto invoca ese binario, así que desde la visión superficial del agente todo parece normal.

La conclusión técnica más preocupante no es un bug aislado en una versión concreta, sino una falla de diseño: entregar texto no confiable a un agente que puede ejecutar comandos equivale a darle la llave de tu host. Los modelos utilizados en la PoC fallaron en separar correctamente "instrucciones que forman parte del código que examinan" de "órdenes que deben ejecutar", y ese fallo persiste entre distintos proveedores y modelos. AI Now sostiene que esto no se corrige con un simple parche de modelo; exige cambios en el flujo de trabajo y en las políticas de uso.

Las implicaciones operativas son amplias. Equipos que adoptaron agentes automatizados para acelerar revisiones de dependencias o auditorías de código de terceros confían ahora en una herramienta que, en ciertos modos, puede ejecutar sin supervisión código que vino de fuera. Dentro de un pipeline CI/CD eso puede transformar una revisión rutinaria en una ejecución de un binario malicioso en infraestructura que contiene claves, credenciales y acceso a secretos. Aunque la PoC no mostró escalada de privilegios ni movimiento lateral en la red de los investigadores, el primer paso —ejecutar código ajeno en el host— ya es suficiente para comprometer secretos y procesos.

Esto no invalida por completo el uso de agentes, pero sí exige un replanteamiento: no entregues código no confiable a un agente con capacidad de ejecutar comandos y acceso a tus claves. Esa regla es la más directa y la más segura. Para los equipos que aún quieren beneficiarse de agentes automatizados existen atajos prácticos y controles de mitigación que reducen el riesgo: desactivar los modos autónomos, forzar un “human-in-the-loop” antes de cualquier ejecución, o ejecutar las comprobaciones en entornos herméticos y efímeros que no contengan credenciales persistentes ni acceso a la red, además de auditar todo comportamiento de ejecución.

Hay que advertir que los mecanismos de contención no son infalibles. Sandboxes y máquinas virtuales añaden barreras, pero han mostrado fugas y escapes en el pasado: por ejemplo, se ha reportado un fallo en la sandbox de Claude Code (referido en el informe como CVE-2026-39861) que ilustra que confiar exclusivamente en contenedores o sandboxes puede dar una falsa sensación de seguridad. Por eso las protecciones deben ser en capas: separación de privilegios, uso de tokens efímeros y rotación automática, segmentación de red, y políticas estrictas de mínimos privilegios para cualquier herramienta automatizada.

Desde la perspectiva de la cadena de suministro de software, la recomendación apunta a prácticas ya promovidas por iniciativas de seguridad moderna: firmar artefactos, exigir trazabilidad y reproducibilidad, y aplicar marcos como SLSA para la integridad de los builds. Estas medidas ayudan a reducir la probabilidad de que un archivo R E A D M E u otro documento de texto se convierta en un vector de ejecución inadvertida. Para profundizar en estas prácticas, organizaciones y responsables técnicos pueden revisar documentación de buenas prácticas en integridad de la cadena de suministro en proyectos como SLSA en https://slsa.dev/, y material de análisis crítico sobre riesgos y políticas en el trabajo de think tanks como el AI Now Institute en https://ainowinstitute.org/.

Recomendaciones operativas concretas que cualquier equipo puede aplicar de inmediato: desactivar modos automáticos de ejecución en agentes que analicen código no confiable; exigir confirmación humana y un registro claro de acciones antes de permitir ejecuciones; tratar archivos de documentación (README, scripts de ejemplo) como no fiables por defecto; no exponer credenciales en los entornos donde corren revisiones automatizadas y, cuando sea imprescindible ejecutar código, hacerlo en máquinas desechables sin secretos y con imagen revertible. Además, implantar monitoreo y alertas para detectar ejecuciones inesperadas y rotar cualquier secreto que haya estado presente en un entorno comprometido.

Finalmente, esto es un recordatorio de que la adopción acelerada de agentes para tareas defensivas debe ir acompañada de gobernanza y controles. La prueba de concepto es laboratorio, no explotación masiva documentada en producción, pero el patrón ya ha aparecido con variantes anteriores (TrustFall, Agentjacking) y la superficie de ataque es real porque los repositorios públicos y artefactos de terceros son un objetivo frecuente. La cobertura técnica debe completarse con políticas organizativas que limiten la autonomía operativa de los agentes hasta que las garantías de aislamiento, trazabilidad y control humano sean robustas.