Tenet Security mostró la cadena de ataque “GhostJacking” el 9 de agosto en el escenario principal de DEF CON 34. Una solicitud bloqueada por Cloudflare quedó registrada en el log con un encabezado User-Agent envenenado por el atacante. El agente de codificación basado en inteligencia artificial que analizó estos datos tomó el texto del atacante como una instrucción y realizó un cambio en DNS utilizando las credenciales proporcionadas previamente por la empresa. En la prueba de Tenet, Claude Code on Sonnet 4.6 siguió esta instrucción en nueve de 10 intentos en la configuración recomendada de Cloudflare.
En el ataque, el cortafuegos funcionó; sin embargo, el agente podía leer tanto los datos a los que tenían acceso los atacantes como modificar los sistemas señalados por esos datos. Tenet identificó pruebas públicas de que este tipo de configuración estaba presente en 48 organizaciones, incluidas seis empresas de Fortune 500 verificadas. SecurityWeek también informó de que se habían detectado cadenas similares en Datadog y Sentry.
Steve Wilson, co-líder del proyecto OWASP Top 10 for LLM Applications, recomendó colocar una puerta de autorización fuera del modelo. El agente debería poder proponer cambios, pero no aprobar por sí solo operaciones de alto impacto; las operaciones ambiguas deberían pasar a la aprobación de una persona. Según Wilson, las reglas de seguridad escritas en los prompts pueden orientar el comportamiento, pero no constituyen controles de seguridad aplicables. En la demostración, Cursor se utilizó a través de una integración de GraphQL y de la API de Cloudflare.
Por qué es importante
Este hallazgo muestra que un cortafuegos puede no ser suficiente por sí solo en los agentes de codificación basados en inteligencia artificial: el agente no solo puede leer los registros a los que tiene acceso el atacante, sino también realizar operaciones en los sistemas a los que estos apuntan. Esta situación afecta directamente a las organizaciones que proporcionan al agente credenciales predefinidas y accesos a API, ya que el contenido malicioso puede interpretarse como una instrucción interna fiable. El hecho de que las pruebas disponibles públicamente apunten a configuraciones similares en distintas organizaciones demuestra que el problema no puede reducirse a un único producto o experimento. La cuestión fundamental que sigue abierta es mediante qué capa de autorización técnica se separarán del agente los cambios de alto impacto. Sin aprobación humana ni controles aplicables, las reglas de seguridad incluidas en los prompts no proporcionan por sí solas una protección suficiente.