Los escáneres destinados a detectar «habilidades» complementarias maliciosas para agentes de codificación de IA pueden ser engañados con unos pocos cambios simples que permiten que el malware siga siendo funcional, según un nuevo estudio realizado por investigadores de la Universidad de Ciencia y Tecnología de Hong Kong.
Su truco más fuerte pasó desapercibido para todos los escáneres probados más del 90 % de las veces, y el mismo equipo creó un verificador de tiempo de ejecución que detecta la mayoría de las habilidades encubiertas que los escáneres pasaron por alto.
Una habilidad es un paquete pequeño, que normalmente contiene un archivo de instrucciones Markdown y algunos scripts, que agentes como Claude Code, OpenAI Codex y OpenClaw cargan para obtener nuevas funciones. Las habilidades son simplemente paquetes de archivos, por lo que puede ejecutar la misma habilidad en diferentes agentes. Luego se ejecuta utilizando los propios derechos de acceso del agente, incluidos archivos, terminales y contraseñas guardadas.
Los maliciosos pueden robar credenciales, copiar código fuente o instalar puertas traseras. La mayor parte de lo que aparece en los mercados públicos es subido por extraños con poco escrutinio.
La principal defensa hasta ahora han sido los escáneres de habilidades, que leen archivos antes de instalar habilidades y bloquean cualquier cosa que parezca peligrosa. El artículo, titulado «Cloak and Detonate», prueba si ese es realmente el caso. que no es. Sin embargo, vencer al escáner no es nada nuevo.
Hacker News ha cubierto a investigadores que superan todos los escáneres con sus habilidades falsas y, según el propio recuento de la compañía, el ataque ha alcanzado a decenas de miles de agentes. Lo que agrega este documento es cómo hacerlo de manera sistemática y a escala, y defensas que funcionen incluso cuando eso suceda.
¿Cómo se pueden romper las habilidades de disfraz?
La herramienta de los investigadores, SKILLCLOAK, reescribe habilidades maliciosas para que se comporten exactamente de la misma manera pero parezcan limpias. Funciona de dos maneras.
Los más ligeros utilizan los propios operadores del papel para reescribir el byte regalado que ingresa el escáner. Al intercambiar caracteres con caracteres similares de otro alfabeto, o al dividir los comandos marcados en nuevas líneas, los patrones del escáner ya no coinciden, pero los comandos aún se ejecutan.
La versión más pesada, el paquete autoextraíble, mueve toda la carga útil a un directorio que el escáner omite (como .git/). Se encuentra detrás de un decodificador de apariencia inofensiva y solo reconstruye la habilidad cuando el agente la ejecuta. El escáner omitirá dichos directorios para ahorrar tiempo y evitar falsas alarmas. Este es exactamente el punto ciego que explota este truco.
En 8 escáneres y 1.613 habilidades maliciosas reales obtenidas del mercado público ClawHub, el truco de empaquetado pasó por cada uno de los 8 escáneres más del 90 % de las veces, y la mayoría de los escáneres más del 99 % de las veces.
La reescritura ligera se eliminó más del 80 % para la mayoría de los escáneres y más del 96 % para un escáner. Y disfrazarse le cuesta poco al atacante. En Claude Code y OpenAI Codex, las habilidades ocultas funcionaban exactamente igual que las habilidades originales.
Observe cómo funciona una habilidad, no cómo se ve.
Dado que las apariencias se pueden disfrazar, los investigadores sugieren utilizar una herramienta llamada SKILLDETONATE para comprobar el comportamiento. Ejecute su habilidad en un sandbox y observe lo que hace a nivel del sistema operativo: qué lee, qué escribe y dónde envía los datos.
Hay dos ideas para que esto funcione para los agentes. Los datos confidenciales se rastrean por dónde van, no por su apariencia, por lo que base64 y el cifrado no causan problemas. Y las instrucciones que desarrolla la habilidad se ejecutan solo en tiempo de ejecución. Aquí es exactamente donde el truco del embalaje esconde la carga útil.
En pruebas controladas, el verificador detectó el 97 % de los ataques y marcó falsamente el 2 % de las habilidades seguras. Este tenía una tasa de falsas alarmas más baja que el escáner de fichas y se mantuvo estable incluso cuando la habilidad estaba oculta. Cuando se trata de habilidades maliciosas del mundo real, captamos el 87 %.
El escáner de Cisco, el más potente probado, capturó por el contrario el 99% de las habilidades del mundo real antes del encubrimiento y alrededor del 10% después del encubrimiento.
El problema es la velocidad, el escáner se ejecuta una vez antes de que la habilidad surta efecto, pero tarda varios minutos por habilidad en comparación con los segundos que tarda el escáner. Este trabajo es una preimpresión y aún no ha sido revisado por pares. Los investigadores publicaron su código.
Ya está sucediendo en la naturaleza.
Nada de esto es hipotético. El mercado público ya está lleno de habilidades maliciosas que los escáneres no pueden detener. Bitdefender descubrió que aproximadamente el 17% de las habilidades que comprobó en un mercado contenían código malicioso oculto. Como informó THN, Koi Security contó 341 en una sola campaña llamada ClawHavoc, que luego aumentó a 824 a medida que crecía el mercado.
Algunas personas utilizan trucos exactos en papel. De las cinco habilidades de evasión que descubrió la Unidad 42, solo una todavía existe en ClawHub a pesar de la funcionalidad de escaneo incorporada: omnicogg, que empaqueta 22 MB de basura en el README para sortear el límite de tamaño del escáner, y es el mismo operador de relleno de tamaño que la prueba en papel. Dos personas más robaron contraseñas de Mac, otras dos secuestraron el asesoramiento financiero del agente, impulsaron enlaces de afiliados y manipularon el lanzamiento de memecoin.
Las brechas de ejecución también aparecen fuera del mercado de habilidades. Recientemente, un repositorio GitHub de aspecto limpio permitió a Claude Code abrir un shell inverso en la propia máquina del desarrollador, dando control remoto a un atacante. No había ningún código malicioso en el repositorio. El script de configuración lo obtuvo de los registros DNS en tiempo de ejecución, por lo que el análisis estático no pudo detectar nada. El equipo 0DIN de Mozilla rastreó la cadena.
Los obstáculos asociados afectan la descripción de la herramienta que el agente lee a través del protocolo de contexto del modelo. Microsoft advirtió que las descripciones dañinas que se cambiaron después de que se aprobó la herramienta obligaron en secreto a las agencias financieras a filtrar facturas impagas. La mecánica es diferente, pero la premisa incumplida es la misma: lo que pasa la revisión se ejecuta.
Vale la pena señalar claramente algunas limitaciones. Nadie ha atrapado todavía a un atacante utilizando técnicas de empaquetado tan precisas a escala. El caso real aquí es evitar al vecino, no SKILLCLOAK en sí. El verificador de tiempo de ejecución es un prototipo de investigación y, si bien es potente en el laboratorio, no ha sido probado en el mundo real ni con atacantes que intenten evadirlo activamente. Y todas las cifras de rendimiento son propias de los autores y provienen de artículos que no han sido revisados por pares. La dirección es clara. Ciertas cifras merecen la cautela habitual debido a los primeros estudios de un solo grupo.
Esa es la verdadera lección, y ahí es donde se reúne el creciente conjunto de trabajos. Los escáneres juzgan una habilidad por su apariencia cuando se envía, pero el comportamiento malicioso solo aparece cuando la habilidad se ejecuta después de que se completa el escaneo. Por lo tanto, las decisiones de confianza deben trasladarse desde la puerta del mercado a la máquina donde se ejecuta la habilidad.
¿Qué cazas? Los papeles que se escapan, incluso las habilidades que pasan el análisis, dejan señales que los defensores pueden buscar.
Archivos grandes o de alta entropía ocultos en directorios que los escáneres tienden a omitir, como .git/ o build/. Habilidades que solo descomprimen o ensamblan código en tiempo de ejecución, en lugar de enviarlo visiblemente. El archivo está incrustado mucho más allá de un tamaño razonable, un truco que eludió la habilidad de llegar por debajo del límite de tamaño del escáner.
Nada de esto es evidencia en sí mismo. Éstas son primeras señales de alerta baratas, no veredictos.
Para los equipos que utilizan agentes de codificación, la insignia «Escaneo aprobado» es un punto de partida, no una garantía. Mantenga el escaneo estático como control de higiene de bajo costo, pero tenga en cuenta lo que hace su habilidad cuando se ejecuta: a qué archivos accede, qué comandos ejecuta y dónde envía sus datos.
El documento también proporciona métodos provisionales concretos, como habilidades de hash al escanear y volver a verificar antes de cada ejecución para detectar cargas útiles que luego se descomprimen, y habilidades de señalización que envían blobs opacos a carpetas ignoradas o incrustan archivos que exceden los límites de tamaño. Ninguno de ellos puede cerrar la brecha por sí solo. Esto es importante. Las defensas duraderas monitorean el comportamiento en tiempo de ejecución.
Además, asegúrese de instalar únicamente desde fuentes verificadas, brinde al agente el acceso mínimo necesario y evite ejecutarlo en máquinas que contengan secretos que valga la pena robar.
Source link
