Emergen riesgos de seguridad al poder los agentes de IA transmitir comandos maliciosos mediante el protocolo MCP

Image: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Source

Investigadores demuestran cómo agentes de IA comprometidos pueden explotar el protocolo MCP para propagar instrucciones dañinas a través de redes corporativas, exponiendo servicios internos a ataques y destacando la necesidad de modelos de seguridad de cero confianza.

La rápida adopción de agentes de IA en entornos corporativos ha introducido una nueva vulnerabilidad en la ciberseguridad relacionada con los protocolos de comunicación que utilizan estos sistemas. El experto independiente en seguridad Syed Anas Mohiuddin ha demostrado que un solo agente de IA comprometido puede transmitir comandos maliciosos a otros agentes mediante el Protocolo de Canal Múltiple (MCP), un estándar de comunicación que permite que las aplicaciones de IA se conecten a diversas herramientas y compartan datos. Esta confianza inter-agente puede ser explotada para escalar ataques dentro de las redes organizacionales.

La investigación de Mohiuddin mostró estas vulnerabilidades en varias plataformas principales vinculadas a Google, JPMorgan Chase, Weaviate, Rapid7, el servicio digital interministerial francés y el gobierno federal de EE. UU. La metodología del ataque implica incrustar instrucciones dañinas dentro del contenido o tareas proporcionadas a un agente. En lugar de rechazar estos comandos, el agente comprometido los reenvía a otros agentes como tareas legítimas del flujo de trabajo. Debido a que los agentes receptores confían en sus pares internos, ejecutan estas instrucciones, que los sistemas externos podrían haber rechazado.

Un impacto crítico de esta explotación es la facilitación de ataques de falsificación de solicitudes del lado del servidor (SSRF). En escenarios de SSRF, un agente comprometido puede obligar a un servidor a realizar solicitudes a recursos ocultos dentro de la red interna, inaccesibles desde el exterior. Esta reacción en cadena puede conducir a accesos no autorizados a servicios sensibles y datos confidenciales.

Investigadores de seguridad describen esta explotación como una forma de "pivotaje de protocolo", donde las instrucciones maliciosas atraviesan un protocolo de comunicación para aprovechar los mecanismos de confianza de otro. Markus Vervier de X41 D-Sec destaca que estos ataques se asemejan fundamentalmente a la inyección de instrucciones, es decir, la inserción de comandos dañinos dentro de las entradas procesadas por sistemas de IA.

Recientemente se identificaron y corrigieron dos vulnerabilidades notables. Un problema en la herramienta de Rapid7 obtuvo una puntuación de 2.7 sobre 10 en severidad y fue parcheado en septiembre, mientras que un defecto más crítico en la Caja de Herramientas MCP de Google para Bases de Datos fue calificado con un 8 sobre 10. Este último permitía a un cliente HTTP seguir redireccionamientos hacia direcciones IP internas sin suficiente verificación, posibilitando potencialmente el acceso no autorizado a la red interna. Google mitigó esto implementando listas blancas de rangos IP permitidos y bloqueando direcciones inseguras.

Estos hallazgos subrayan la importancia de adherirse a los principios de seguridad de cero confianza en infraestructuras de IA. La confianza no debe extenderse automáticamente a agentes internos sin verificación. Todas las instrucciones transmitidas entre agentes de IA deben ser examinadas en busca de contenido malicioso para prevenir brechas de seguridad en cascada dentro de los ecosistemas corporativos. A medida que la integración de IA se profundiza, es esencial contar con salvaguardas robustas contra este tipo de explotaciones multimodales para la ciberseguridad organizacional.