Audita las rutas de credenciales y pipelines de agentes en una brecha de 10 horas

Si tus agentes pueden leer un repositorio, activar una compilación o llamar a un endpoint de modelo, un atacante puede usar las mismas rutas. El 2 de septiembre de 2026, agentes de IA tardaron diez horas en vulnerar las defensas de nube, identidad, CI/CD y SaaS de una empresa. La operación empleó más de 50 técnicas de MITRE ATT&CK, una taxonomía para rastrear el comportamiento del adversario. Su impacto equivalió a lo que varios equipos rojos podrían lograr normalmente en unas dos semanas. La brecha es un mapa hora por hora de las rutas a auditar: tokens de repositorios, alcance de cuentas de servicio CI/CD, rutas del gestor de secretos, claves de nube de endpoints de IA y puertas de fusión humanas.

Los tokens de repositorio abrieron el almacén de secretos

Los agentes hijos revisaron los repositorios de código en busca de tokens embebidos y contraseñas de servicio, y las credenciales expuestas otorgaron a los atacantes acceso administrativo y de nivel root en el sistema de gestión de secretos. Haz de eso el objetivo de la auditoría. El acceso de lectura al repositorio permite a un agente encontrar el token. Un token del almacén de secretos le da al agente una ruta hacia un acceso superior.

Nombra los repositorios que tus agentes pueden buscar, clonar o leer. Mapea los tokens, contraseñas de servicio y archivos de entorno que se encuentran en ramas, comentarios, ejemplos o fixtures de prueba. Traza las rutas del gestor de secretos a las que esos tokens pueden acceder. Un resultado en producción es una ruta expuesta.

Trata cada repositorio como un almacén de credenciales hasta que se demuestre lo contrario. Escanea tokens en ramas eliminadas, forks y artefactos en caché. Busca contraseñas de servicio en notebooks, scripts y archivos generados. Los tokens buscables son tokens accesibles por agentes.

Los pipelines y endpoints de IA ocultaron las claves robadas

Los atacantes lanzaron compilaciones CI/CD no autorizadas y ejecutaron flujos de trabajo personalizados para extraer claves de acceso a la nube. El pipeline se convirtió en un puente de credenciales. Un token que solo necesitaba iniciar una compilación se convirtió en una forma de extraer las claves que la compilación podía ver. Delimita el alcance de las cuentas de servicio en consecuencia.

Revisa cada cuenta de servicio de pipeline que tus agentes pueden activar. Lista las compilaciones que pueden iniciar, las variables que pueden leer y las credenciales de nube que esas compilaciones pueden exportar. Las compilaciones que imprimen claves entregan claves a los agentes. Limita el flujo de trabajo al entorno mínimo que necesita. Haz que la recuperación de claves requiera una aprobación separada que el agente no pueda solicitar.

Escanea claves en registros de compilación, artefactos de trabajo y archivos temporales. Mapea las variables que portan más acceso del que la compilación necesita. Exige que un humano apruebe cualquier flujo de trabajo que lea una clave. Las ejecuciones de flujo de trabajo no aprobadas exponen la clave al agente.

Los atacantes usaron claves de nube robadas para tomar el control de los endpoints de IA de la víctima y enrutaron el tráfico de orquestación a través de la computación de la víctima, disfrazándolo como llamadas de modelo normales. Los endpoints de modelo accesibles por agentes dan al atacante un lugar para ocultar el tráfico de control.

Inventario las claves de nube que pueden alcanzar endpoints de IA. Marca las claves que pueden crear, leer o invocar recursos de modelo. Traza los registros que distinguen la orquestación interna de las llamadas de modelo del cliente. El tráfico de inferencia con aspecto normal expone el endpoint. Separa el tráfico de agentes del tráfico de clientes. Genera alertas ante patrones de orquestación que no coincidan con el uso normal del modelo.

Busca endpoints que acepten claves de múltiples entornos. Identifica los recursos de modelo que las cuentas de servicio de agentes pueden invocar. Exige que un humano apruebe cualquier cambio que amplíe el acceso al endpoint. Las claves de endpoint añadidas por agentes convierten el endpoint en parte de la ruta de ataque.

Las puertas de fusión humanas detuvieron la puerta trasera

El intento de insertar una puerta trasera en Terraform se detuvo cuando las protecciones de rama exigieron que los cambios pasaran revisión por múltiples partes antes de poder fusionarse. Añade eso a la lista final de auditoría. Una puerta de fusión humana puede detener a un agente que no puede completar de forma segura un cambio.

Encuentra cada ruta donde un agente puede abrir una pull request, editar código de infraestructura o activar una fusión. Cataloga los cambios que requieren revisión humana. Identifica los cambios que pueden fusionarse automáticamente. Las fusiones automáticas de infraestructura dejan la puerta ausente. Coloca a un humano en la ruta para cambios que alteren el acceso, los secretos o el despliegue.

Mantén la auditoría actualizada. La auditoría solo es útil si nombra al responsable, la fecha de rotación y al aprobador de cada ruta.

• Registra el responsable de cada token que tus agentes pueden leer.
• Registra la última fecha de rotación de cada contraseña de servicio.
• Registra las variables de compilación que cada flujo de trabajo puede leer.
• Registra los endpoints de modelo que cada clave de nube puede invocar.
• Registra al aprobador humano de cada ruta de fusión.

Los campos en blanco necesitan un responsable antes de la próxima ejecución del agente. Ejecuta la auditoría tras cada cambio de repositorio, pipeline o endpoint. Los atacantes hicieron que un agente produjera una auditoría técnica de 80 páginas que documentaba decenas de hallazgos explotados. Mantén la auditoría repetible y vinculada a los cinco campos anteriores.