Quando l'Agente Diventa il Vettore: Sicurezza nel Mondo Autonomo
Zero-click prompt injection en agentes AI. CVSS crítico.
No es un título de blog. Es la señal de que el paradigma de seguridad que conocemos acaba de colapsar bajo el peso de sus propios supuestos.
Durante décadas, el perímetro era la infraestructura. Firewalls, segmentación de red, zero-trust sobre la identidad. Hoy el perímetro es un contexto conversacional — una ventana de texto que un agente autónomo lee, interpreta, y transforma en acciones con acceso al filesystem, a las APIs, a tu base de datos de producción.
La Superficie de Ataque que Nadie Está Modelando
La arquitectura agentic introduce tres vectores para los cuales aún no existe un framework maduro:
1. Tool Poisoning vía MCP (Model Context Protocol). La investigación sobre la seguridad de los LLM ha demostrado que un servidor MCP comprometido puede inyectar directivas persistentes en el espacio de contexto del agente, sobrescribiendo el comportamiento de tools legítimos sin modificar el código de la aplicación host. El agente no sabe que está siendo envenenado. Ejecuta con la misma confianza con la que ejecutaría un `ls -la` — pero ahora `ls` exfiltra variables de entorno hacia un dominio controlado por el atacante.
El dominio MCP se convierte, de facto, en la autoridad de confianza. Quien controla los servidores MCP controla el agente.
2. Zero-Click Prompt Injection. No es necesario que el usuario haga clic en nada. No se necesita interacción humana. Un contexto contaminado — un comentario en una pull request, un metadato en un archivo markdown, un campo oculto en un formulario — basta. El agente lee, interpreta, actúa. El daño es silencioso y determinista. La prompt injection indirecta es un vector documentado y activamente explotado.
3. Time-to-Exploit en Colapso. Los datos históricos de Mandiant (M-Trends) documentan una tendencia clara: el tiempo medio entre la divulgación de una vulnerabilidad y su explotación activa se ha desplomado de semanas a días. Las zero-day explotadas antes de la divulgación — el caso "negativo" — existen desde hace años, pero en el mundo agentic la velocidad de deployment amplifica el riesgo: un agente puede ser re-deployado en segundos con nuevas capacidades, y cada superficie expuesta está bajo ataque en el momento en que la creas.
Lo que Sabemos por Experiencia Directa
En un ecosistema de microservicios con un memory server expuesto vía Tailscale, agentes con acceso a filesystem y memoria compartida, cada componente es un potencial punto de compromisión que se propaga en cascada.
La primera lección: los canales de ejecución no son fiables por defecto. Un canal Bash que retorna "SUCCESS" sin output real es indistinguible de un canal comprometido que inyecta respuestas falsas. La validación del canal es un prerequisito, no un afterthought.
El Insight Práctico
Implementa el principio de "Canary Execution" para cada agente en producción:
Antes de delegar cualquier acción con side-effect (escritura de archivo, llamada API, modificación de base de datos), inserta un probe — una operación con output determinístico y verificable. Si el probe falla o retorna resultados inesperados, el agente entra en estado `DEGRADED` y opera en solo lectura hasta validación humana.
Esto no previene el ataque. Pero limita el radio de la explosión — y en un mundo donde el time-to-exploit está en colapso, contener el daño es la única estrategia que funciona en tiempo real.
El Próximo Paso
La seguridad agentic no es un producto. Es una disciplina que requiere competencia arquitectural, no solo reglas estáticas.
Si estás deployando agentes con acceso MCP, tools externos, o contextos no aislados, ya tienes una superficie que tus scanners no están modelando. Hablemos de ello antes de que lo haga alguien más.
Silicea — Seguridad Arquitectural para Sistemas Agenticos