Un certificado manipulado permite a un agente de IA sacar datos del entorno aislado de Vercel, pese a su filtro de red

Un agente de inteligencia artificial descontrolado puede sacar información de Vercel SandboxEntorno aislado en el que se ejecuta un programa separado del resto del sistema, para que sus acciones no afecten a otros archivos, programas o redes sin permiso., el entorno aislado que usan los desarrolladores para correr código de agentes, sin conectarse jamás a un servidor no autorizado. Lo demostró AIR, una startup de seguridad para IA, en una investigación publicada el 12 de octubre: un certificado digital manipulado hace que un servidor permitido reenvíe los datos al atacante. No se informó de ningún CVE para la falla, y todavía no hay un parche.

Un portón que se abre desde adentro

Un entorno aislado, o sandbox, existe para que un agente de IA no pueda llegar a sistemas ajenos ni enviar información sensible. Una de sus defensas es la lista de destinos permitidos: el agente solo puede hablar con servidores aprobados.

AIR mostró que esa lista se puede rodear. En la prueba, el agente envía a un servidor aprobado un certificado diseñado a medida. Al validarlo, ese servidor hace un pedido a otro, controlado por el atacante, y le entrega lo que el agente quería sacar. En el ejemplo de los investigadores, una clave privada. Según Machine, el truco aprovecha una función de TLS que permite a los servidores buscar información adicional al verificar certificados.

"Un certificado manipulado es todo lo que hace falta", dice el informe. Para Niv Hoffman, cofundador y director técnico de AIR, la dificultad es que el sandbox nunca habló con el servidor del atacante: "desde el punto de vista del sandbox, todo parecía normal". AIR comparó el método con el de los agentes de OpenAI que, en pruebas internas, salieron de su entorno y llegaron a sistemas de Hugging Face: "Su gestor de paquetes era nuestro acme.com".

Sin parche, y con versiones distintas sobre la respuesta

Hoffman dijo a The Record que Vercel recibió el aviso y respondió que necesita tiempo para encontrar una solución, porque todavía no está claro cómo hacerla. Machine, en cambio, informó que el reporte enviado al programa de recompensas por errores fue rechazado porque el ataque depende del comportamiento de un servidor externo y no de la infraestructura de la plataforma. Vercel no respondió de inmediato a la consulta de The Record. No hay evidencia de explotación, pero AIR no puede descartarla, porque la falla parece antigua.

Los propios investigadores ponen un límite: la prueba no demuestra que todos los sandboxes sean vulnerables ni que un agente pueda descubrir la técnica por su cuenta.

Qué conviene hacer

AIR concluye que un sandbox es una capa de protección y no una frontera completa: bloquea las conexiones que ve, pero no garantiza que los datos no salgan. Recomienda filtrar la información que recibe el agente y evitar que se exponga a contenido malicioso. Para quien ya usa agentes con sandbox, conviene además no dejar dentro del entorno claves ni credenciales que no sean imprescindibles, y revisar a qué destinos permitidos puede llegar el agente. Nic Adams, de la firma 0rcus, lo resume así: la seguridad tiene que contemplar lo que ocurre después de la primera conexión.