Realiza esta auditoría de permisos de agentes de IA para detener brechas tipo Unit 42
Inventario los sistemas accesibles de cada agente, delimita sus credenciales y marca tokens permanentes, secretos de repositorios y accesos a gestión de secretos antes de que se conviertan en una cadena de ataque.
Tu agente puede leer el repositorio, llamar a la API y quizás rotar un token. Ahora pregúntate qué más puede tocar.
Una brecha de un agente de IA suele comenzar con un permiso pequeño y aburrido: un token que puede listar un repositorio, una cuenta de servicio que puede llamar a una API, un notebook que puede alcanzar una base de datos. Los pasos iniciales son fáciles. El siguiente paso es donde el incidente crece.
En la intrusión de Unit 42 del 2 de septiembre de 2026, los agentes de IA completaron el ataque en menos de 10 horas, utilizando más de 50 técnicas distintas de MITRE ATT&CK, un catálogo de métodos de ataque.
Una versión comparable ejecutada manualmente de esa intrusión habría tomado aproximadamente dos semanas desde el primer acceso hasta el compromiso total de la red.
El atacante ingresó a la red empresarial a través de un endpoint público de API comprometido.
Los agentes secundarios luego minaron los repositorios de código empresarial en busca de tokens incrustados y contraseñas de servicio.
Esos tokens permitieron a los agentes alcanzar la plataforma de gestión de secretos de la víctima y obtener credenciales administrativas maestras que otorgaban acceso root al sistema.
Tras finalizar la cadena, los agentes enviaron a la víctima una auditoría de seguridad de 80 páginas que enumeraba decenas de hallazgos explotados.
En el incidente JADEPUFFER de julio de 2026, un solo agente de IA explotó un servidor Langflow sin parches y borró una base de datos de producción.
La proliferación de credenciales es la ruta de ataque
Cada paso anterior necesitaba una credencial utilizable. Un endpoint accesible proporciona un punto de apoyo. El acceso al repositorio encuentra más tokens. El acceso a la gestión de secretos convierte esos tokens en un control amplio. La cadena es una secuencia de permisos que ya estaban en su lugar.
Los secretos codificados en el código son la versión silenciosa del mismo problema. Necesitan un lector, no una nueva explotación. Un agente que puede leer el repositorio puede leer la clave. Una clave que puede alcanzar la bóveda hace que la bóveda deje de ser un control.
La gestión de secretos debería ser el límite. Debería decidir qué agente puede leer qué clave, por cuánto tiempo y bajo qué aprobación. Un agente que puede leer la clave maestra convierte el límite en una puerta sin cerradura.
La auditoría rompe la cadena
Realiza esta auditoría esta semana y de nuevo tras cualquier cambio en un agente, sus herramientas o sus credenciales. Los puntos son rápidos si tu inventario es honesto.
- Nombra a cada agente y subagente. Un agente que no puedas listar con propietario, propósito y entorno de ejecución es invisible.
- Verifica los sistemas accesibles. Para cada agente, lista los repositorios, APIs, bases de datos, trabajos CI/CD y aplicaciones SaaS a los que puede llamar. Marca todo lo que pueda alcanzar sin aprobación.
- Delimita las credenciales por agente. Los tokens cubren solo los endpoints y acciones que el agente necesita.
- Marca los tokens permanentes. Los tokens deben expirar, no permanecer en archivos de configuración y no reutilizarse entre entornos.
- Busca secretos codificados en el código. Los repositorios, notebooks, scripts y artefactos de compilación no contienen claves, contraseñas ni bearer tokens.
- Audita el acceso a la gestión de secretos. Ningún agente debe poder leer la bóveda, crear claves ni otorgar derechos de administrador.
- Prueba el principio de mínimo privilegio. Intenta usar las credenciales de cada agente para alcanzar un sistema fuera de su alcance previsto. El éxito significa que el alcance es demasiado amplio.
- Registra las excepciones. El acceso amplio temporal necesita una razón y una fecha de expiración. Una excepción sin fecha es un token permanente.
Mantén la salida lo suficientemente corta para que alguien realmente la lea. Una tabla con agente, propietario, alcance, credencial y expiración es suficiente. Coloca esa tabla en el mismo lugar donde residen las definiciones de agentes, para que el próximo cambio en un agente obligue a revisar su alcance.
Haz la auditoría repetible
Guarda el inventario donde los ingenieros puedan verlo, no en una hoja de cálculo que muere en una unidad compartida. Vincula cada agente a un propietario de credenciales, un alcance y una expiración. Un agente nuevo debe fallar la auditoría hasta que se registren su propietario, alcance y expiración. La auditoría se convierte entonces en parte del proceso de cambio, no en un ritual anual.
