Vulnerabilidad en Amazon Kiro permite exfiltración de datos mediante Kiro Powers

Investigadores de seguridad han puesto al descubierto una falla en Amazon Kiro, el entorno integrado de desarrollo (IDE) con funcionalidades de agente impulsadas por IA, que permite la exfiltración de datos locales mediante la manipulación de archivos de proyecto y las llamadas “Kiro Powers”. Hecho confirmado: la vulnerabilidad fue reproducida contra Kiro IDE 0.7.45 en Windows por la firma MindGuard y, tras divulgación responsable, Amazon corrigió el fallo en la versión 0.8.140; la versión más reciente disponible es la 1.0.337.

En términos sencillos, la cadena de ataque aprovecha archivos de repositorio controlados por el atacante que la propia IA interpreta como instrucciones. Kiro Powers —que agrupa configuraciones del servidor MCP (Model Context Protocol), archivos de direccionamiento como "POWER.md", hooks y conocimiento contextual— puede proporcionar a un agente persistente el contexto y las herramientas que debe usar. MindGuard demostró que, si un usuario abre un archivo de espacio de trabajo malicioso mediante File → Open Workspace From File y después envía cualquier mensaje al agente, el flujo vulnerable puede activarse y transmitir información sensible a un servidor externo sin que el usuario haya solicitado explícitamente el envío.

Los elementos verificados del ataque son claros: el exploit es reproducible tanto en espacios de trabajo marcados como “de confianza” como en los que no, la dificultad de explotación fue calificada como baja y el vector no exige que el usuario escriba un prompt malicioso: basta con abrir el archivo de workspace y enviar cualquier mensaje para desencadenar la filtración. MindGuard describe la raíz como una falla en las fronteras de confianza: contenido controlado por el repositorio influye en el agente; el agente lee información local sensible; esa información se escribe en configuraciones del IDE y una capacidad posterior del IDE convierte esa configuración en tráfico de red.

Cómo funciona técnicamente: Kiro integra interpretación de contexto y ejecuciones de herramientas dentro del mismo flujo. Los archivos de proyecto pueden inyectar instrucciones persistentes (el steering file POWER.md) que le dicen al agente qué MCP servers y hooks están disponibles y cuándo invocarlos. Si esas instrucciones permiten leer archivos locales y luego formatearlos en una llamada a un recurso externo (por ejemplo, una petición HTTP a una URL controlada por el atacante), la información se exfiltra sin una aprobación adicional del usuario. La vulnerabilidad concreta explotada por MindGuard encadena la capacidad del agente para leer y escribir configuraciones y la facultad del IDE para ejecutar o convertir esas configuraciones en actividad de red.

Quién está afectado: usuario finales y organizaciones que ejecuten versiones vulnerables de Kiro en Windows, en particular la 0.7.45 según las pruebas publicadas. No hay un identificador CVE asignado a esta falla en el momento del informe; sin embargo, Amazon ya desplegó un parche. No está confirmado por las fuentes públicas si macOS o Linux fueron probados o afectados en la misma medida; esa extensión permanece incierta.

Este hallazgo enlaza con una tendencia más amplia: múltiples herramientas y CLIs de desarrollo con capacidades de IA han mostrado fallos que permiten desde exfiltración de secretos hasta ejecución remota de código mediante vectores como prompt injection, manipulación de archivos de configuración confiables y abuso de rutas de búsqueda en Windows. Uno de los problemas previos en Kiro (CVE-2026-10591) ya había demostrado la gravedad posible cuando un actor puede forzar la reescritura de archivos de configuración sensibles y provocar ejecución automática al abrir una carpeta. Para referencias técnicas y registros de vulnerabilidades relacionadas consulte, por ejemplo, el archivo de NVD sobre el CVE-2026-10591 y los análisis publicados por la firma que reportó el hallazgo: CVE-2026-10591 en NVD y MindGuard.

Consecuencias reales: en escenarios de riesgo práctico, un desarrollador que abra un proyecto descargado de un repositorio desconocido (o incluso aparentemente confiable si el ataque está oculto) podría filtrar claves, tokens, código privado o cualquier archivo accesible al proceso del IDE hacia servidores controlados por atacantes. Dado que la activación solo requiere “enviar un mensaje” al agente, la acción parece banal desde la perspectiva del usuario, lo que eleva el riesgo de explotación incidental. No hay evidencia pública en el informe de explotación en estado salvaje, por lo que el alcance real de intrusiones anteriores sigue siendo incierto.

Medidas concretas que debe tomar el lector: las recomendaciones prácticas, diferenciando entre pasos inmediatos y medidas estructurales, son las siguientes:

Actualización inmediata: si usa Kiro, actualice lo antes posible. El parche reportado está presente en la versión 0.8.140; lo ideal es moverse a la versión más reciente estable (la 1.0.337 mencionada en el informe) y revisar las notas de la release antes y después de actualizar.

Prácticas de apertura de proyectos: evite abrir archivos de workspace procedentes de fuentes no verificadas con File → Open Workspace From File; en su lugar, clone el repositorio y abra la carpeta directamente o inspeccione manualmente el archivo de workspace y cualquier POWER.md antes de permitir que Kiro lo procese.

Restrinja la red desde entornos de desarrollo: implemente reglas de firewall que limiten las conexiones salientes de procesos del IDE hacia destinos no aprobados, y utilice proxies o registros para detectar peticiones HTTP salientes inesperadas. Para equipos sensibles, considere aislamiento en contenedores o máquinas virtuales con políticas de red estrictas.

Control y auditoría de configuración: desactive o restrinja la instalación automática de MCP servers, hooks o cualquier carga remota de herramientas desde repositorios externos, y supervise cambios en archivos de configuración que puedan incorporar destinos de red o comandos automáticos.

Política organizacional y revisiones: trate los archivos de proyecto como código ejecutable: aplique revisión de cambios (pull requests), escaneo automático del contenido de POWER.md y reglas que bloqueen artefactos con instrucciones de ejecución automáticas. Añada controles para el acceso a secretos (secret scanning) y límites en permisos de lectura de archivos sensibles desde el IDE.

Si sospecha exposición: revocar y rotar credenciales (tokens, claves SSH, API keys) que podrían haber estado accesibles desde el workspace y revisar logs de salida de red desde el periodo de riesgo para identificar destinos inusuales. No hay pruebas públicas de explotación masiva, pero si existe sospecha fundada, actúe como si se hubieran divulgado secretos.

Finalmente, es importante subrayar que la vulnerabilidad no es solo un bug puntual de Kiro, sino un síntoma de un problema arquitectural: cuando los agentes de IA y las capacidades de ejecución se mezclan con la configuración y el contenido del repositorio, las fronteras de confianza quedan expuestas. Los programas de divulgación deben evolucionar para evaluar rutas de ejecución end-to-end, y los desarrolladores de herramientas de IA necesitan diseñar controles que separen de forma explícita el contenido del repositorio del plano de ejecución y de las configuraciones de red. Para lecturas adicionales sobre riesgos y guías de seguridad en IA, el lector puede consultar recursos oficiales como los de CISA sobre inteligencia artificial: CISA — Artificial Intelligence.