La técnica «Ghostjacking» convierte registros aparentemente inofensivos en órdenes maliciosas para agentes de inteligencia artificial con permisos sobre infraestructuras críticas.
La expansión de la inteligencia artificial dentro de las empresas está abriendo una nueva superficie de ataque. Una investigación de Tenet Security, presentada en DEFCON 34, describe una técnica denominada «Ghostjacking», capaz de manipular asistentes y agentes autónomos para que ejecuten acciones potencialmente peligrosas utilizando sus propios permisos legítimos.
El mecanismo resulta especialmente preocupante porque el atacante no necesita necesariamente vulnerar directamente el cortafuegos. En su lugar, puede intentar introducir instrucciones ocultas en información que posteriormente será procesada por un agente de IA.
Según la investigación, determinadas configuraciones permitieron alcanzar tasas de éxito de hasta el 90 % en las pruebas realizadas.
Ghostjacking: el ataque que utiliza la confianza de la IA
El funcionamiento se basa en un problema conocido en seguridad de sistemas de IA: la inyección indirecta de instrucciones.
El ataque puede comenzar con una petición deliberadamente anómala contra la infraestructura de una compañía. El sistema de seguridad hace aparentemente lo correcto: bloquea la solicitud y registra el incidente.
El problema aparece después.
Si el registro conserva literalmente determinados contenidos introducidos por el atacante, estos pueden terminar almacenados dentro de los logs corporativos.
Cuando posteriormente un administrador solicita a un asistente de IA que analice esos registros, el modelo puede procesar el contenido manipulado y, en una configuración vulnerable, confundir datos externos con instrucciones que debe ejecutar.
De esta forma, el atacante intenta convertir un dato que debería ser considerado exclusivamente información en una orden para la inteligencia artificial.
El agente puede actuar con permisos legítimos
Este escenario adquiere una dimensión mucho mayor cuando las empresas conceden a sus agentes autónomos capacidad para ejecutar acciones.
Un asistente conectado únicamente a documentación interna supone un riesgo limitado. Sin embargo, un agente autorizado para modificar configuraciones, gestionar servicios, acceder a repositorios o administrar infraestructura en la nube puede convertirse en una herramienta extremadamente poderosa.
La investigación advierte de que las acciones se realizan mediante los permisos legítimos asignados al propio agente, circunstancia que puede dificultar que determinadas defensas tradicionales interpreten inmediatamente la actividad como maliciosa.
El problema ya no consiste únicamente en que una IA genere una respuesta equivocada. Puede ejecutar una decisión equivocada sobre sistemas reales.
Desde modificar DNS hasta redirigir correos y páginas web
Uno de los escenarios analizados afecta a las plataformas de gestión de redes.
Si un agente dispone de privilegios suficientes, una instrucción manipulada podría llevarlo a alterar configuraciones del sistema DNS.
Las consecuencias potenciales son importantes: una modificación maliciosa del DNS puede permitir redirigir tráfico web o comunicaciones hacia infraestructura controlada por terceros.
En otros entornos, los investigadores estudiaron cómo alertas o registros manipulados podían terminar provocando acciones sobre sistemas conectados.
La amenaza aumenta especialmente cuando existen credenciales de desarrollo expuestas públicamente, permisos excesivos o agentes con capacidad de ejecutar código.
Un asistente de IA puede engañar a otro
La investigación plantea además un problema todavía más complejo: los ataques pueden propagarse entre diferentes agentes de inteligencia artificial.
Un primer sistema podría interpretar información manipulada como legítima y generar una supuesta solución. Posteriormente, esa información podría ser utilizada por otro asistente encargado de programación, administración o despliegue.
Se crea así una potencial cadena:
atacante → registro manipulado → agente de IA → segundo agente → infraestructura empresarial.
Las pruebas en entornos controlados mostraron incluso escenarios en los que un agente podía generar instrucciones destinadas a influir sobre otro sistema de IA.
Este tipo de interacción anticipa uno de los principales desafíos de la ciberseguridad empresarial: controlar no solamente lo que hace cada modelo, sino también qué información intercambian entre ellos y qué permisos posee cada agente.
Más de 15 000 organizaciones podrían estar expuestas
Según las estimaciones recogidas en la investigación, más de 15 000 organizaciones podrían presentar algún grado de exposición a configuraciones susceptibles de este tipo de manipulación.
Los investigadores localizaron miles de claves públicas y configuraciones potencialmente vulnerables, lo que pone el foco sobre la velocidad con la que las compañías están incorporando herramientas de IA a sus procesos internos.
No significa que todas esas organizaciones hayan sido atacadas o comprometidas. La cifra refleja posibles exposiciones detectadas, una distinción fundamental desde el punto de vista de la ciberseguridad.
El peligro de dar demasiado poder a la inteligencia artificial
Ghostjacking vuelve a colocar sobre la mesa una cuestión fundamental: qué nivel de autonomía debe concederse a una IA empresarial.
La automatización permite reducir tiempos y descargar tareas rutinarias de los departamentos tecnológicos, pero conectar un modelo directamente con infraestructura crítica introduce nuevos riesgos.
Un agente con capacidad para leer información externa, interpretarla y ejecutar inmediatamente modificaciones puede crear una combinación especialmente peligrosa.
Por ello, la defensa no debería depender únicamente de conseguir que el modelo «reconozca» las instrucciones maliciosas.
Los especialistas recomiendan aplicar el principio de mínimo privilegio, limitar las conexiones externas y establecer barreras independientes entre la información que recibe la IA y las acciones que puede ejecutar.
Supervisión humana antes de ejecutar acciones críticas
Entre las principales medidas planteadas figura bloquear por defecto determinadas conexiones salientes a Internet desde los agentes y habilitarlas únicamente cuando resulten imprescindibles.
También resulta fundamental revisar los permisos concedidos a las integraciones de inteligencia artificial.
Pero probablemente la medida más importante sea conservar una barrera humana para las operaciones sensibles: una IA puede analizar y proponer una modificación, pero determinados cambios deberían requerir autorización explícita de una persona antes de ejecutarse.
Los registros, correos electrónicos, incidencias, documentos y cualquier otra información procedente de fuentes externas deben considerarse además datos potencialmente hostiles, aunque aparentemente sean simples textos.
La llegada de agentes capaces de actuar autónomamente cambia así las reglas de la ciberseguridad. El objetivo del atacante ya no tiene por qué ser únicamente engañar a una persona o explotar directamente una vulnerabilidad informática: ahora también puede intentar convencer a una inteligencia artificial con privilegios para que haga el trabajo por él.
Chollones
Chollones
Chollones