Los marketplaces de capacidades para agentes de inteligencia artificial comienzan a reproducir los mismos problemas de seguridad que vivieron las tiendas de aplicaciones y los repositorios de software. Una investigación de Unit 42 revela que varias funciones maliciosas lograron superar los controles de una de estas plataformas.
La inteligencia artificial no solo evoluciona a través de modelos cada vez más potentes. También lo hace mediante un ecosistema de herramientas que amplían sus capacidades. Los conocidos como agentes de IA pueden incorporar nuevas funciones mediante marketplaces de terceros, un sistema similar al de una tienda de aplicaciones, pero esta nueva forma de distribuir capacidades también está atrayendo la atención de los ciberdelincuentes.
Así lo advierte Unit 42, la división de inteligencia de amenazas de Palo Alto Networks, que ha identificado cinco «skills» maliciosas en ClawHub, el marketplace asociado al agente de IA OpenClaw. Las funciones permanecieron disponibles durante meses pese a los mecanismos de revisión de la plataforma, demostrando que la cadena de suministro de la inteligencia artificial empieza a enfrentarse a riesgos similares a los que ya sufrieron las tiendas de aplicaciones o los repositorios de código.
Las organizaciones pueden desplegar un modelo de inteligencia artificial seguro y, aun así, quedar expuestas si instalan una capacidad desarrollada por un tercero.
Estas skills pueden acceder a documentos corporativos, credenciales, herramientas internas o cuentas autenticadas, además de conectarse con servicios externos y ejecutar acciones en nombre del usuario.
Con la creciente incorporación de agentes de IA en áreas como atención al cliente, recursos humanos, finanzas o gestión de infraestructuras, el riesgo deja de centrarse únicamente en el modelo y pasa a extenderse a todo el ecosistema que lo rodea.
La investigación de Unit 42 identifica cinco capacidades maliciosas que ilustran las nuevas tácticas empleadas por los atacantes.
Dos de ellas se hacían pasar por asistentes para TradingView, una popular plataforma de análisis financiero. Aunque prometían ayudar a los inversores, su verdadero objetivo era dirigir a las víctimas hacia la instalación de programas capaces de robar información en equipos macOS.
Otra de las herramientas, denominada OmniCogg, utilizaba una técnica de evasión poco habitual: añadía decenas de megabytes de contenido irrelevante para superar los límites de análisis de algunas soluciones de seguridad y ocultar así su código malicioso.
Los investigadores también detectaron Money-radar, un supuesto asesor financiero que recomendaba bancos, plataformas de inversión y servicios de intercambio de criptomonedas en función de los intereses económicos de su desarrollador, modificando remotamente las recomendaciones mediante enlaces de afiliación.
La quinta skill, Letssendit, coordinaba distintos agentes para realizar aportaciones automáticas a una cartera de criptomonedas controlada por los atacantes, simulando una demanda artificial y favoreciendo posibles operaciones de manipulación del mercado.
Los especialistas consideran que estos incidentes reflejan la rápida evolución del ecosistema de los agentes de IA.
Del mismo modo que las primeras tiendas de aplicaciones móviles, las librerías de software o los repositorios de código tuvieron que reforzar sus mecanismos de revisión tras la aparición de aplicaciones maliciosas, los marketplaces de inteligencia artificial comienzan ahora a recorrer ese mismo camino.
Tras recibir la notificación de Unit 42, OpenClaw retiró las capacidades identificadas y bloqueó las cuentas responsables de su publicación.
Los expertos recomiendan que las organizaciones apliquen a estas nuevas plataformas los mismos criterios de seguridad que utilizan para cualquier componente de su cadena de suministro tecnológica.
Entre las principales recomendaciones destacan verificar quién desarrolla cada capacidad, revisar qué información puede consultar, limitar los permisos concedidos y controlar las conexiones que establece con servicios externos.
También aconsejan impedir que los agentes de IA puedan ejecutar operaciones especialmente sensibles —como acciones financieras o modificaciones críticas— sin mecanismos adicionales de supervisión y aprobación humana.
La inteligencia artificial ya no depende únicamente de la calidad del modelo que la impulsa. Su verdadero potencial reside en la capacidad para conectarse con aplicaciones, servicios y herramientas externas.
Pero esa misma conectividad amplía la superficie de ataque.
Los marketplaces de skills prometen acelerar la innovación y facilitar la adopción de agentes inteligentes en las empresas. Sin embargo, también se perfilan como uno de los nuevos frentes de la ciberseguridad, donde proteger el modelo dejará de ser suficiente y será imprescindible garantizar la confianza de todo el ecosistema que lo rodea.
Podcast de Cyberlideria MGZN.
Todos los jueves, a partir de las 22:00, estará disponible en CyberLideria MGZN una nueva entrevista, donde un prestigioso CISO colaborador charlará con una personalidad inspiradora, importante, y líder empresarial, tanto del ámbito privado como público.
Manténgase informado sobre la ciberseguridad, tecnología, las tendencias y las noticias que afectan a los líderes de TI.
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
