![\"Han](\"https:\/\/i.blogs.es\/82d438\/hacker-portada\/1024_2000.jpeg\")
\n <\/p>\n\n \n <\/p>\n
En algunos equipos de desarrollo ya se est\u00e1 volviendo habitual apoyarse en agentes de inteligencia artificial<\/a> para revisar incidencias, analizar cambios en el c\u00f3digo y moverse por tareas que antes quedaban en manos humanas. El problema aparece cuando esos sistemas no solo leen informaci\u00f3n que puede venir de fuera, sino que adem\u00e1s operan en espacios donde conviven claves, tokens y permisos sensibles<\/strong>. Eso es lo que pone sobre la mesa una investigaci\u00f3n reciente: no estamos simplemente ante una herramienta \u00fatil que puede equivocarse, sino ante una arquitectura que tambi\u00e9n puede volverse peligrosa si se despliega sin l\u00edmites muy claros.<\/p>\n <\/p>\n La alarma la ha encendido Aonan Guan<\/a> y los investigadores de Johns Hopkins Zhengyu Liu y Gavin Zhong tras demostrar ataques contra tres agentes desplegados en la mencionada plataforma: Claude Code Security Review, de Anthropic, Gemini CLI Action, de Google, y GitHub Copilot Agent, una herramienta de GitHub bajo Microsoft. Seg\u00fan su documentaci\u00f3n,<\/a> los fallos fueron comunicados de forma coordinada y acabaron en recompensas econ\u00f3micas pagadas por las compa\u00f1\u00edas, pero lo relevante es que apuntan a un problema m\u00e1s amplio.<\/p>\n El nombre que Guan le pone al hallazgo ayuda bastante a entender de qu\u00e9 va todo esto: \u201cComment and Control\u201d. La idea es sencilla de explicar, aunque el fondo no lo sea tanto. En vez de montar una infraestructura externa para dirigir el ataque, el propio GitHub hace de canal de entrada y de salida: el atacante deja la instrucci\u00f3n en un t\u00edtulo<\/strong>, una incidencia o un comentario, el agente la procesa como si formara parte del trabajo normal y el resultado termina reapareciendo dentro de ese mismo entorno. Todo queda en casa, y precisamente ah\u00ed est\u00e1 la clave del problema.<\/p>\n <\/p>\n Y ese \u201ctodo queda en casa\u201d no es un detalle menor, sino la base de lo que describe la investigaci\u00f3n. Los tres agentes comparten una l\u00f3gica muy parecida: leen contenido normal de GitHub, lo incorporan como contexto de trabajo y, a partir de ah\u00ed, ejecutan acciones dentro de flujos automatizados. El choque aparece porque ese mismo espacio no solo contiene texto enviado por terceros, sino tambi\u00e9n herramientas, permisos y secretos que el agente necesita para operar.<\/p>\n <\/p>\n El primer caso que detalla Guan afecta a Claude Code Security Review, una acci\u00f3n de GitHub de Anthropic pensada para revisar cambios de c\u00f3digo y buscar posibles fallos de seguridad. Hasta aqu\u00ed, todo entra dentro de lo esperable. El problema, seg\u00fan explica el investigador, es que bastaba con introducir instrucciones maliciosas en el t\u00edtulo de una pull request<\/em>, que es la solicitud que alguien env\u00eda para proponer cambios en un proyecto, para que el agente ejecutara comandos<\/strong> y devolviera el resultado como si formara parte de su revisi\u00f3n. Despu\u00e9s, el equipo logr\u00f3 ir un paso m\u00e1s all\u00e1 y demostrar que tambi\u00e9n pod\u00eda extraer credenciales del entorno.<\/p>\n Lo interesante es que el mismo esquema tambi\u00e9n apareci\u00f3 en los otros dos servicios, aunque con matices. En Google, Gemini CLI Action pod\u00eda ser empujado a revelar la GEMINI_API_KEY a partir de instrucciones coladas en una incidencia y en sus comentarios; en GitHub Copilot Agent, la variante era todav\u00eda m\u00e1s preocupante, porque el ataque se escond\u00eda en un comentario HTML que una persona no ve\u00eda en pantalla, pero el agente s\u00ed procesaba cuando otra persona lo asignaba al caso. En ambos escenarios, el fondo volv\u00eda a ser el mismo: contenido aparentemente normal que acababa torciendo el comportamiento del sistema hasta exponer credenciales o informaci\u00f3n sensible dentro del propio GitHub.<\/p>\n <\/p>\n Guan asegura que el patr\u00f3n permiti\u00f3 filtrar claves de API, tokens de GitHub y otros secretos expuestos en el entorno donde corr\u00eda el agente, es decir, justo las credenciales que luego pueden abrir la puerta a acciones bastante m\u00e1s delicadas. \u00bfA qui\u00e9n afecta esto? Sobre todo a repositorios que ejecutan agentes en GitHub Actions<\/strong> sobre contenido enviado por colaboradores no fiables y, adem\u00e1s, les dan acceso a secretos o herramientas potentes. El propio investigador matiza que el riesgo depende mucho de la configuraci\u00f3n: por defecto GitHub no expone secretos a las pull requests<\/em> desde forks<\/em>, pero s\u00ed existen despliegues que abren esa puerta.<\/p>\n <\/p>\n Y aqu\u00ed aparece otra capa del asunto, menos t\u00e9cnica pero igual de importante. Seg\u00fan public\u00f3 The Register<\/a>, Anthropic, Google y GitHub acabaron pagando recompensas por los hallazgos, pero ninguna de las tres hab\u00eda publicado avisos p\u00fablicos ni asignado CVE<\/a> en el momento de esa informaci\u00f3n. Guan fue bastante claro al respecto: dijo saber \u201ccon certeza\u201d que algunos usuarios segu\u00edan anclados a versiones vulnerables y advirti\u00f3 de que, sin una comunicaci\u00f3n visible, muchos pod\u00edan no enterarse nunca de que estaban expuestos o incluso siendo atacados. As\u00ed que aunque hubo mitigaciones y cambios en documentaci\u00f3n o en el tratamiento interno de los reportes, no exist\u00f3 un aviso p\u00fablico equivalente para todos los posibles afectados.<\/p>\n Lo que vuelve este caso especialmente delicado es que GitHub no parece el final del camino, sino m\u00e1s bien el primer escaparate visible. Guan sostiene que el mismo patr\u00f3n probablemente puede reproducirse en otros agentes que trabajan con herramientas y secretos dentro de flujos autom\u00e1ticos, y ah\u00ed menciona desde bots conectados a Slack hasta agentes de Jira<\/strong>, correo o automatizaci\u00f3n de despliegues. La l\u00f3gica vuelve a ser la misma: si el sistema tiene que leer contenido externo para hacer su trabajo y, adem\u00e1s, cuenta con acceso suficiente para actuar, el terreno queda abonado para que alguien intente torcerlo desde dentro.<\/p>\n <\/p>\n Cada cu\u00e1nto debemos cambiar TODAS nuestras contrase\u00f1as seg\u00fan tres expertos en ciberseguridad<\/a>\n <\/div>\n<\/p><\/div>\n<\/p><\/div>\n<\/div>\n La conclusi\u00f3n a la que llega Guan no pasa por vender una soluci\u00f3n m\u00e1gica, sino por volver a una idea bastante cl\u00e1sica en seguridad: dar a cada sistema solo lo imprescindible para hacer su trabajo. Si un agente revisa c\u00f3digo, no deber\u00eda tener acceso a herramientas o secretos que no necesita; si se limita a resumir incidencias, tampoco tendr\u00eda sentido que pudiera escribir en GitHub o tocar credenciales sensibles. Por eso insiste en pensar estos despliegues con l\u00f3gica de m\u00ednimo privilegio y listas de permisos muy cerradas.<\/p>\n <\/p>\n Im\u00e1genes | DC Studio | Aonan Guan<\/p>\n En Xataka | La IA es crucial para el ej\u00e9rcito de EEUU. As\u00ed que est\u00e1 nombrando tenientes generales a l\u00edderes de OpenAI y Palantir<\/a><\/p>\n – \u00a0En algunos equipos de desarrollo ya se est\u00e1 volviendo habitual apoyarse en agentes de inteligencia artificial para revisar incidencias, analizar cambios en el c\u00f3digo y moverse por tareas que antes quedaban en manos humanas. El problema aparece cuando esos sistemas no solo leen informaci\u00f3n que puede venir de fuera, sino que adem\u00e1s operan en espacios donde conviven claves, tokens y permisos sensibles. Eso es lo que pone sobre la mesa una investigaci\u00f3n reciente: no estamos simplemente ante una herramienta \u00fatil que puede equivocarse, sino ante una arquitectura que tambi\u00e9n puede volverse peligrosa si se despliega sin l\u00edmites muy claros. Y ese \u201ctodo queda en casa\u201d no es un detalle menor, sino la base de lo que describe la investigaci\u00f3n. Los tres agentes comparten una l\u00f3gica muy parecida: leen contenido normal de GitHub, lo incorporan como contexto de trabajo y, a partir de ah\u00ed, ejecutan acciones dentro de flujos automatizados. El choque aparece porque ese mismo espacio no solo contiene texto enviado por terceros, sino tambi\u00e9n herramientas, permisos y secretos que el agente necesita para operar. Guan asegura que el patr\u00f3n permiti\u00f3 filtrar claves de API, tokens de GitHub y otros secretos expuestos en el entorno donde corr\u00eda el agente, es decir, justo las credenciales que luego pueden abrir la puerta a acciones bastante m\u00e1s delicadas. \u00bfA qui\u00e9n afecta esto? Sobre todo a repositorios que ejecutan agentes en GitHub Actions sobre contenido enviado por colaboradores no fiables y, adem\u00e1s, les dan acceso a secretos o herramientas potentes. El propio investigador matiza que el riesgo depende mucho de la configuraci\u00f3n: por defecto GitHub no expone secretos a las pull requests desde forks, pero s\u00ed existen despliegues que abren esa puerta. En Xataka<\/p>\n Cada cu\u00e1nto debemos cambiar TODAS nuestras contrase\u00f1as seg\u00fan tres expertos en ciberseguridad<\/p>\n La conclusi\u00f3n a la que llega Guan no pasa por vender una soluci\u00f3n m\u00e1gica, sino por volver a una idea bastante cl\u00e1sica en seguridad: dar a cada sistema solo lo imprescindible para hacer su trabajo. Si un agente revisa c\u00f3digo, no deber\u00eda tener acceso a herramientas o secretos que no necesita; si se limita a resumir incidencias, tampoco tendr\u00eda sentido que pudiera escribir en GitHub o tocar credenciales sensibles. Por eso insiste en pensar estos despliegues con l\u00f3gica de m\u00ednimo privilegio y listas de permisos muy cerradas. – La noticia<\/p>\n Han secuestrado agentes de Anthropic, Google y Microsoft por el bien de la ciencia. Las tres empresas acabaron pagando <\/p>\n fue publicada originalmente en<\/p>\n Xataka <\/p>\n por .\u00a0\u00a0\u00a0<\/p>\n","protected":false},"excerpt":{"rendered":" En algunos equipos de desarrollo ya se est\u00e1 volviendo habitual apoyarse en agentes de inteligencia artificial para revisar incidencias, analizar cambios en el c\u00f3digo y moverse por tareas que antes quedaban en manos humanas. El problema aparece cuando esos sistemas no solo leen informaci\u00f3n que puede venir de fuera, sino que adem\u00e1s operan en espacios […]<\/p>\n","protected":false},"author":1,"featured_media":19436,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"amp_status":"","footnotes":""},"categories":[6],"tags":[],"class_list":["post-19435","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciencia-y-tecnologia"],"_links":{"self":[{"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/posts\/19435","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/comments?post=19435"}],"version-history":[{"count":0,"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/posts\/19435\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/media\/19436"}],"wp:attachment":[{"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/media?parent=19435"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/categories?post=19435"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ermdigital.com\/index.php\/wp-json\/wp\/v2\/tags?post=19435"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}As\u00ed lograron torcer a los agentes desde dentro<\/h2>\n
\n\n\n<\/div>\n<\/p><\/div>\n<\/p><\/div>\n<\/div>\n\n\n![\"Claude](\"https:\/\/i.blogs.es\/1e1f8b\/claude-code-api-key-leak\/450_1000.png\")
<\/p><\/div>\n<\/div>\n\n
\n\n\n\n
\n ![\"Cada](\"https:\/\/i.blogs.es\/c6d2d1\/contrasena-portada1\/375_142.jpeg\")
\n <\/a>\n <\/div>\n\n\n En Xataka<\/a>\n <\/div>\n
La noticia
\n
\n Han secuestrado agentes de Anthropic, Google y Microsoft por el bien de la ciencia. Las tres empresas acabaron pagando <\/em>
\n <\/a>
\n fue publicada originalmente en
\n
\n Xataka <\/strong>
\n <\/a>
\n por
\n Javier Marquez
\n <\/a>
\n . <\/p>\n
\nLa alarma la ha encendido Aonan Guan y los investigadores de Johns Hopkins Zhengyu Liu y Gavin Zhong tras demostrar ataques contra tres agentes desplegados en la mencionada plataforma: Claude Code Security Review, de Anthropic, Gemini CLI Action, de Google, y GitHub Copilot Agent, una herramienta de GitHub bajo Microsoft. Seg\u00fan su documentaci\u00f3n, los fallos fueron comunicados de forma coordinada y acabaron en recompensas econ\u00f3micas pagadas por las compa\u00f1\u00edas, pero lo relevante es que apuntan a un problema m\u00e1s amplio.
\nAs\u00ed lograron torcer a los agentes desde dentro
\nEl nombre que Guan le pone al hallazgo ayuda bastante a entender de qu\u00e9 va todo esto: \u201cComment and Control\u201d. La idea es sencilla de explicar, aunque el fondo no lo sea tanto. En vez de montar una infraestructura externa para dirigir el ataque, el propio GitHub hace de canal de entrada y de salida: el atacante deja la instrucci\u00f3n en un t\u00edtulo, una incidencia o un comentario, el agente la procesa como si formara parte del trabajo normal y el resultado termina reapareciendo dentro de ese mismo entorno. Todo queda en casa, y precisamente ah\u00ed est\u00e1 la clave del problema.<\/p>\n
\nEl primer caso que detalla Guan afecta a Claude Code Security Review, una acci\u00f3n de GitHub de Anthropic pensada para revisar cambios de c\u00f3digo y buscar posibles fallos de seguridad. Hasta aqu\u00ed, todo entra dentro de lo esperable. El problema, seg\u00fan explica el investigador, es que bastaba con introducir instrucciones maliciosas en el t\u00edtulo de una pull request, que es la solicitud que alguien env\u00eda para proponer cambios en un proyecto, para que el agente ejecutara comandos y devolviera el resultado como si formara parte de su revisi\u00f3n. Despu\u00e9s, el equipo logr\u00f3 ir un paso m\u00e1s all\u00e1 y demostrar que tambi\u00e9n pod\u00eda extraer credenciales del entorno.
\nLo interesante es que el mismo esquema tambi\u00e9n apareci\u00f3 en los otros dos servicios, aunque con matices. En Google, Gemini CLI Action pod\u00eda ser empujado a revelar la GEMINI_API_KEY a partir de instrucciones coladas en una incidencia y en sus comentarios; en GitHub Copilot Agent, la variante era todav\u00eda m\u00e1s preocupante, porque el ataque se escond\u00eda en un comentario HTML que una persona no ve\u00eda en pantalla, pero el agente s\u00ed procesaba cuando otra persona lo asignaba al caso. En ambos escenarios, el fondo volv\u00eda a ser el mismo: contenido aparentemente normal que acababa torciendo el comportamiento del sistema hasta exponer credenciales o informaci\u00f3n sensible dentro del propio GitHub.<\/p>\n
\nY aqu\u00ed aparece otra capa del asunto, menos t\u00e9cnica pero igual de importante. Seg\u00fan public\u00f3 The Register, Anthropic, Google y GitHub acabaron pagando recompensas por los hallazgos, pero ninguna de las tres hab\u00eda publicado avisos p\u00fablicos ni asignado CVE en el momento de esa informaci\u00f3n. Guan fue bastante claro al respecto: dijo saber \u201ccon certeza\u201d que algunos usuarios segu\u00edan anclados a versiones vulnerables y advirti\u00f3 de que, sin una comunicaci\u00f3n visible, muchos pod\u00edan no enterarse nunca de que estaban expuestos o incluso siendo atacados. As\u00ed que aunque hubo mitigaciones y cambios en documentaci\u00f3n o en el tratamiento interno de los reportes, no exist\u00f3 un aviso p\u00fablico equivalente para todos los posibles afectados.
\nAnthropic resolvi\u00f3 el caso el 25 de noviembre de 2025 y pag\u00f3 100 d\u00f3laresGoogle recompens\u00f3 el hallazgo el 20 de enero de 2026 con 1.337 d\u00f3laresGitHub cerr\u00f3 el caso el 9 de marzo de 2026 con un pago de 500 d\u00f3lares
\nLo que vuelve este caso especialmente delicado es que GitHub no parece el final del camino, sino m\u00e1s bien el primer escaparate visible. Guan sostiene que el mismo patr\u00f3n probablemente puede reproducirse en otros agentes que trabajan con herramientas y secretos dentro de flujos autom\u00e1ticos, y ah\u00ed menciona desde bots conectados a Slack hasta agentes de Jira, correo o automatizaci\u00f3n de despliegues. La l\u00f3gica vuelve a ser la misma: si el sistema tiene que leer contenido externo para hacer su trabajo y, adem\u00e1s, cuenta con acceso suficiente para actuar, el terreno queda abonado para que alguien intente torcerlo desde dentro.<\/p>\n
\nIm\u00e1genes | DC Studio | Aonan Guan
\nEn Xataka | La IA es crucial para el ej\u00e9rcito de EEUU. As\u00ed que est\u00e1 nombrando tenientes generales a l\u00edderes de OpenAI y Palantir<\/p>\n
\n Javier Marquez<\/p>\n