Microsoft empaqueta malware en sus propios repos por segunda vez en un mes
73 paquetes infectados con credential stealers se activan automáticamente cuando un agente de IA los abre
En menos de un mes, repositorios oficiales de Microsoft hospedaron por segunda vez paquetes infectados con credential stealers diseñados para activarse automáticamente cuando un agente de IA los inspecciona. 73 paquetes maliciosos lograron eludir los controles de seguridad y ejecutar código de robo de credenciales sin que ningún humano ejecutara manualmente el software. La recurrencia del ataque expone una vulnerabilidad estructural en el modelo de confianza que sustenta la adopción de agentes autónomos en entornos empresariales.
Superficie de ataque ampliada: cuando la automatización acelera el compromiso
El vector de infección aprovecha el comportamiento estándar de los agentes de IA que inspeccionan dependencias de código: al abrir y analizar un paquete para evaluar su funcionalidad, el agente dispara scripts de instalación que los atacantes diseñaron para extraer credenciales almacenadas en el sistema. A diferencia de ataques tradicionales de supply chain que requieren que un desarrollador instale manualmente una librería comprometida, estos paquetes infectados se activan en el momento de la inspección automatizada. La capacidad de autorreplicación del malware amplifica el alcance: una vez que un agente compromete un sistema, el stealer puede propagarse a otros repositorios y entornos conectados.
La repetición del incidente en repositorios de Microsoft señala que los mecanismos de validación actuales no están calibrados para detectar payloads que explotan patrones de comportamiento de agentes. Los sistemas de escaneo tradicional buscan firmas de malware conocido o anomalías en código ejecutable, pero no modelan cómo un agente interactúa con dependencias durante tareas de análisis o integración continua.
Patrón emergente: IA como vector de ataque horizontal
El caso de Microsoft no es aislado. Meta confirmó recientemente que miles de cuentas de Instagram fueron comprometidas mediante el abuso de su chatbot de IA, donde atacantes manipularon el sistema para extraer tokens de sesión y credenciales de usuarios. Ambos incidentes comparten una característica: los atacantes no explotan vulnerabilidades técnicas en el código de los modelos de IA, sino que abusan de la confianza implícita que estos sistemas depositan en fuentes externas o en la validez de inputs que procesan a escala.
La arquitectura de agentes autónomos prioriza velocidad y autonomía sobre validación exhaustiva. Cuando un agente debe evaluar cientos de paquetes por hora para optimizar una pipeline de desarrollo, la fricción de verificación manual se elimina por diseño. Esa misma eliminación de fricción es la que permite que un paquete malicioso se active antes de que cualquier señal de alarma llegue a un equipo de seguridad. Como documentamos en los tres exploits que expusieron la superficie de ataque de la IA en producción, este patrón se está convirtiendo en la norma operativa para atacantes que mapean sistemáticamente los flujos de trabajo automatizados.
Implicaciones para arquitecturas de confianza cero
La industria ha invertido años en promover modelos de confianza cero para acceso humano a sistemas críticos, pero la adopción de agentes autónomos introduce un actor que opera fuera de esos controles. Un agente con permisos para leer repositorios, instalar dependencias y ejecutar código en entornos de desarrollo tiene, en la práctica, privilegios equivalentes a los de un desarrollador senior. Si ese agente puede ser engañado para ejecutar código malicioso mediante la simple inspección de un paquete, el perímetro de seguridad se desplaza de la autenticación de usuarios a la validación de comportamiento de agentes.
Las organizaciones que despliegan agentes de IA en pipelines de CI/CD o en tareas de gestión de dependencias necesitan implementar sandboxing obligatorio para cualquier operación de inspección de código externo. Eso implica entornos aislados donde los agentes puedan analizar paquetes sin acceso a credenciales reales, secrets de producción o conectividad lateral a otros sistemas. La validación de paquetes debe ocurrir en un espacio desechable que se destruye después de cada análisis.
Qué vigilar en los próximos trimestres
La recurrencia de estos ataques en infraestructura de Microsoft sugiere que los atacantes están mapeando sistemáticamente los flujos de trabajo de agentes en plataformas empresariales. Esperá ver un aumento en malware diseñado específicamente para explotar comportamientos de agentes: paquetes que se activan al ser parseados, documentación con payloads embebidos que se ejecutan al ser resumidos por LLMs, y exploits que abusan de la capacidad de agentes para ejecutar comandos en terminales.
Para equipos de seguridad, la prioridad inmediata es auditar qué agentes tienen acceso a repositorios de código, qué permisos poseen y si operan con credenciales compartidas o individuales. La telemetría de comportamiento de agentes debe tratarse con la misma seriedad que los logs de acceso humano. Y cualquier organización que permita a agentes instalar o ejecutar dependencias sin supervisión humana necesita reevaluar esa arquitectura antes de que el próximo batch de paquetes infectados llegue a sus repositorios oficiales.