Cuando el Prompt Se Convierte en Shell: RCE Reales en Semantic Kernel (CVE-2026-26030, CVE-2026-25592)
El 7 de mayo de 2026, el Microsoft Defender Security Research Team publicó una investigación que desplaza el límite: la prompt injection ya no es un problema de "salida incorrecta" — es un vector de Ejecución Remota de Código (RCE) a nivel host en frameworks agenticos.
Fuente primaria: When prompts become shells: RCE vulnerabilities in AI agent frameworks — Microsoft Security Blog. Dos CVE críticos en Microsoft Semantic Kernel (Python y .NET SDK) demuestran cómo la integración entre modelos y tools puede crear primitivas de ejecución peligrosas.
CVE-2026-26030: In-Memory Vector Store — eval() como arma
En esta vulnerabilidad, el uso de una lambda de Python ejecutada vía eval() para filtrar resultados de un Vector Store permitió a un atacante inyectar código malicioso. A pesar de la presencia de una blocklist AST, el atacante logró bypassarla escalando la jerarquía de clases de Python partiendo de tuple() para alcanzar os.system().
CVE-2026-25592: SessionsPythonPlugin — Escape de Sandbox
El bug reside en la exposición errónea de la función DownloadFileAsync como tool invocable por la IA. Un atacante puede usar el agente para generar un payload en una sandbox aislada y luego, vía DownloadFileAsync, escribirlo directamente en la carpeta Startup de Windows del host, obteniendo control total del sistema al reinicio.
La Lección Arquitectural
La conclusión es neta: las vulnerabilidades no están en los modelos de IA, sino en la arquitectura del agente. Cuando los tools exponen operaciones de alto riesgo sin validación lado host, la prompt injection se vuelve un arma. El LLM no es un security boundary.
Principios de Defensa
- Tool Allow-listing con hashes pinned (SHA-256): verifica la integridad de cada tool antes de la invocación.
- Sandbox obligatoria: aislamiento vía container, VM o WASM con network egress control.
- Remoción acceso IA a funciones host-side: las funciones que tocan el host deben ser llamadas solo por código intencional, nunca directamente por el modelo.
La soberanía sin sandbox es vulnerabilidad máxima. Construyan agentes que sepan que no pueden confiar en sus propios tools.