La trampa de los asistentes de código IA: ruido en detecciones y el riesgo real para credenciales

La reciente radiografía que hizo Sophos sobre una semana de su telemetría aporta una lección clara: los asistentes de código impulsados por IA están generando patrones de comportamiento que los motores de detección basados en conducta interpretan como intrusiones, aunque no lo sean. Procesos legítimos de automatización —descifrar credenciales guardadas en navegadores usando DPAPI, enumerar el Administrador de Credenciales con cmdkey, descargar binarios con utilidades nativas como certutil o bitsadmin, o dejar scripts en la carpeta de inicio— son exactamente las señales que durante años han servido como "alta fidelidad" para detectar atacantes. El cambio es el emisor: ahora puede ser un agente de desarrollo actuando para ayudar al usuario, un atacante usando un agente para mejorar malware o un agente secuestrado por inputs maliciosos.

Eso no convierte en inocuo el acceso a secretos. Desencriptar datos protegidos por la API de protección de datos de Windows (DPAPI) o listar credenciales siguen siendo acciones de alto riesgo y deben permanecer limitadas. Microsoft describe cómo funciona DPAPI y por qué su uso constituye acceso a material sensible; cualquier proceso que lo invoque merece un nivel de escrutinio mucho mayor que una descarga rutinaria de código. https://learn.microsoft.com

La lección operativa para equipos de seguridad es doble. Por un lado, no se puede seguir confiando ciegamente en reglas que trataban como definitivo todo uso de herramientas "living off the land". Por otro, no se debe rebajar la protección sobre accesos a credenciales y persistencia: un agente legítimo no debería tener carta blanca para extraer secretos ni para instalar componentes que sobrevivan al reinicio. La telemetría que presenta Sophos es puntual y limitada a una flota concreta en junio de 2026, pero los patrones coinciden con lo que describen otros informes estratégicos: el movimiento lateral y el abuso de herramientas legítimas se consolidan como la norma, y los agentes de IA introducen ruido en esas señales. Véase el análisis de CrowdStrike sobre la tendencia hacia operaciones sin malware tradicional. https://www.crowdstrike.com

Para reducir falsos positivos sin abrir la puerta a intrusiones, los equipos de detección deben adoptar una estrategia de segmentación de reglas. Escuchar menos al "qué" y más al "quién/desde dónde/para qué": afinar detecciones por proceso padre (por ejemplo, identificar procesos de agentes como claude.exe o cursor.exe), por ruta de trabajo y por reputación del destino de la descarga. Si una operación legítima viene de un agente conocido, con un workspace autorizado y descarga desde un dominio reputado, el evento puede ser tratado con menos severidad; si la misma conducta intenta acceder al almacén de credenciales o escribir persistencia fuera de un instalador certificado, la alerta debe mantenerse alta.

En el plano de políticas y configuración hay medidas prácticas inmediatas. Impedir o controlar modos peligrosos de los asistentes (por ejemplo, banderas que saltan permisos) mediante políticas centralizadas; negarle al agente acceso directo a vaults y credenciales del usuario y forzar integraciones a través de APIs de secretos gestionadas; exigir aprobación explícita para que cualquier automatismo toque el almacén de credenciales; y separar entornos de desarrollo donde los agentes pueden probar descargas o ejecutar scripts sin afectar estaciones de trabajo de producción.

También conviene reforzar el "laboratorio de seguridad" para las propias herramientas de IA: asegurar el canal de entrada (prevenir envenenamiento de prompts o datos), auditar las acciones que un agente propone antes de permitir ejecución y mantener un registro detallado de la cadena de decisiones del agente para facilitar incident response. No es suficiente detectar un binario bajado con certutil; hay que observar la conducta posterior: ¿se pivotó tras un bloqueo? ¿se probaron rutas alternas? Esa capacidad de "reintentar con otra herramienta" es un marcador de comportamiento activo que distingue a un atacante en vivo de un script estático, y hoy la comparten agentes benignos.

Para proveedores de EDR y fabricantes de agentes hay un imperativo de colaboración: los asistentes de código deberían exponer metadatos que permitan clasificarlos de forma fiable (firma del ejecutable, hash de skillpacks, rutas temporales estándar, modo de operación) y los proveedores de seguridad deben ofrecer formas documentadas de diferenciar trabajos automatizados confianzas y permisos granulares. Al mismo tiempo, el diseño de los agentes debe evitar por defecto privilegios amplios sobre secretos y documentar claramente modos inseguros para que los administradores puedan deshabilitarlos.

El equilibrio es delicado: ni todos los eventos alrededor de herramientas legítimas indican intrusión ni se debe rebajar la guardia sobre accesos a secretos y persistencia. El resultado práctico para cualquier organización es revisar reglas de EDR con foco en contexto y reputación, endurecer controles alrededor de credenciales y adoptar políticas de mínimos privilegios para asistentes de IA. Es probable que veamos más ruido en las detecciones en los próximos meses a medida que la adopción de estos agentes crezca; prepararse ahora reducirá tanto la fatiga de alertas como el riesgo real de que un agente —sea benigno, malicioso o secuestrado— permita una brecha.