Sophos examinó los datos de sus terminales durante una semana y descubrió que agentes de codificación de IA como Claude Code, Cursor y OpenAI Codex estaban activando reglas de detección creadas para atrapar a intrusos humanos.
El agente no tiene intenciones maliciosas. Simplemente hacen muchas cosas que parecen ataques al motor conductual.
Ya sea descifrar las credenciales del navegador, enumerar lo que hay en el almacén de credenciales de Windows, usar herramientas integradas del sistema para recuperar archivos o escribir en carpetas de inicio, estas han sido durante mucho tiempo señales importantes para los defensores.
Lo que ha cambiado es quién lo produce. En muchos casos, los asistentes de inteligencia artificial de los desarrolladores realizaban tareas rutinarias en las máquinas monitoreadas por Sophos.
¿Qué hizo saltar la alarma?
Este análisis aprovecha 7 días de telemetría desde junio de 2026, obtenidos del motor de comportamiento de Sophos en Windows y contados por máquinas únicas, en lugar de por volumen de eventos sin procesar. Esta es una ventana estrecha de la flota de un proveedor y no es una encuesta de toda la industria.
Según los gráficos de Sophos, el 56,2 por ciento de las actividades bloqueadas fueron acceso a credenciales y el 28,8 por ciento fueron ejecución. Esto significa que el agente tiene acceso a los secretos almacenados y ejecuta código igual que el atacante.
La regla de acceso a credenciales más grande en este grupo, con un 42,6 %, se activa cuando un proceso utiliza la API de protección de datos integrada de Windows (DPAPI) para descifrar los datos de credenciales almacenados en el navegador. En Sophos, nuestro paquete de habilidades ampliamente adoptado para agentes de codificación se llama GStack.
Su habilidad /browse hace precisamente eso: ejecuta PowerShell que llama a DPAPI para desbloquear los datos guardados del navegador. Sophos encontró esto ejecutándose bajo el código Claude. Contextualmente, es casi seguro que esto automatiza el navegador en nombre del usuario. Para el motor de detección, esto es robo de credenciales y la regla es despedir.
Algunos de los ejemplos de Python parecían incluso peores en el papel. En un ejemplo, Claude Code cerró un navegador en ejecución y ejecutó un script que recuperaba datos del almacén de credenciales.
Por separado, ejecuté cmdkey /list para enumerar las credenciales que posee el Administrador de credenciales de Windows. Sophos señala que Claude Code aquí se ejecutó con el indicador –dangerfully-skip-permissions establecido. Este modo se advierte sobre este modo en la propia documentación de Anthropic, que indica a los administradores cómo bloquearlo.
Si un enfoque falla, el agente intenta con otro. OpenAI Codex hizo precisamente eso, extrayendo el instalador de Python que comienza con certutil del python.org real. Eso se bloqueó así que cambié a bitsadmin. Ambas son utilidades legítimas de Windows que los atacantes explotan habitualmente para obtener cargas útiles y vivir en el terreno.
Aunque el objetivo era benigno, Sophos dice que este comportamiento pivotante al bloquear es lo que distingue a un atacante vivo de un script estático, y ahora también lo ejecutan agentes benignos.
El cursor activó la regla de persistencia al usar PowerShell para soltar un script de carpeta de inicio que se ejecuta cada vez que se inicia la máquina. Sophos no pudo confirmar qué hacía el script, pero escribir en una startup que no sea instaladores confiables es el tipo de cosas que inmediatamente alertaría a los defensores.
Agentes de IA en ambos lados de la línea
La parte trasera ya es visible. Hace un mes, Sophos documentó que atacantes utilizaban agentes de inteligencia artificial para crear y probar malware contra productos EDR, uno de los cuales ejecutaba Claude Opus 4.5 para coordinar el esfuerzo.
Eso fue durante el desarrollo y los agentes ayudaban a los atacantes a crear mejores herramientas. Los agentes también atienden a sus propios usuarios en tiempo de ejecución. En otro caso, los investigadores demostraron que se podía engañar a un agente codificador para que ejecutara el código de un atacante mediante una entrada envenenada. Esta cadena puede eludir EDR porque el agente opera dentro de la sesión confiable del usuario.
Estos son eventos separados con diferentes reglas que se ejecutan, pero comparten una superficie. Esto significa que ahora pueden realizarse solicitudes de credenciales del navegador, descargas de LOLBin y escrituras de inicio desde agentes benignos, agentes ejecutados por atacantes y agentes secuestrados.
Es por eso que la acción cruda transmite menos que antes. Y eso supone un gran cambio en el aspecto de la invasión. Según el Informe de amenazas globales 2026 de CrowdStrike, el 82% de las detecciones en 2025 no contenían malware y los atacantes utilizaban credenciales válidas y herramientas confiables en lugar de descartar archivos.
Este cambio es lo que impulsó la detección a la acción en primer lugar. Los agentes de IA ahora producen el mismo comportamiento por las razones habituales, desplazando las señales exactas en las que los defensores han llegado a confiar.
Qué significa para los defensores
Cuando los desarrolladores ejecutan estos agentes en sus propias cuentas, esperan que se activen reglas de punto final en sus máquinas. La respuesta de Sophos es dividir las reglas según lo que captan. El ruido de ejecución de los agentes que reintentan descargas o emiten PowerShell con un formato extraño suele estar localizado.
Introduzca reglas para la reputación del proceso principal del agente (claude.exe, cursor.exe y sus procesos secundarios), su espacio de trabajo o ruta temporal, o destino de descarga. Esto evita que los agentes conocidos que realizan su trabajo normal generen alertas.
El acto de tocar las credenciales es donde trazamos la línea. El descifrado de credenciales del navegador y la enumeración del administrador de credenciales los realiza un agente en nombre de un ser humano y, por lo tanto, no son seguros. Los agentes no deben heredar el acceso general al almacén de credenciales sólo porque se ejecutan con un usuario de confianza. Si el ruido proviene del modo –dangerfully-skip-permissions de Claude Code, desactive ese modo a través de la configuración administrativa.
Sophos llama a esto un juicio temprano más que un veredicto, señalando que aunque la dirección es clara, el cambio aún es pequeño. La cuestión de política abierta es qué operaciones se le debe permitir realizar a un agente de codificación en un punto final, y el almacén de credenciales es un lugar inteligente para trazar la primera línea.
Source link
