Checklist de contención de API de agentes para ServiceNow CVSS 10.0

Si sus agentes leen o escriben datos de la plataforma de ServiceNow, CVE-2026-18885 es una vulnerabilidad de inyección de código en la GraphQL Composite Data API, el canal de acceso a datos que los agentes de IA de ServiceNow utilizan para consultar y manipular datos de la plataforma. Tres vulnerabilidades con la máxima calificación, CVE-2026-18885, CVE-2026-18886 y CVE-2026-74820, recibieron puntuaciones CVSS 10.0 y pueden explotarse sin una sesión autenticada. ServiceNow publicó el aviso KB3152242 el 27 de agosto de 2026 para cuatro vulnerabilidades de Now Platform y AI Platform en las versiones Xanadu, Yokohama y Zurich. Un agente de producción solo es tan seguro como los controles de autenticación, parcheo y alcance de las APIs de plataforma que utiliza. Un agente que puede leer o escribir a través de un canal de datos expuesto es el punto de entrada. La plataforma es el control. El control debe estar parcheado, acotado y probado.

Parchee la plataforma antes de auditar el agente

ServiceNow emitió la actualización a las instancias alojadas y proporcionó la corrección a socios y clientes autoalojados, por lo que los operadores autoalojados deben aplicarla ellos mismos. Para entornos autogestionados, ServiceNow designó las compilaciones parcheadas como Xanadu Patch 11 Hot Fix 7a, Yokohama Patch 12 Hot Fix 3b o Patch 13 Hot Fix 4, Zurich hasta Patch 12, y Australia patches 2 through 5. ServiceNow indicó que no tenía conocimiento actual de explotación en cada registro de aviso. Defused declaró inicialmente que había observado explotación activa de CVE-2026-6875 días después del aviso de julio, pero luego aclaró que la carga observada correspondía a una demostración de concepto publicada por Searchlight Cyber. Trate una compilación anterior como una API de agente expuesta hasta que demuestre lo contrario.

La auditoría en cinco pasos es el control

Los agentes de IA acceden a datos y herramientas para realizar tareas, lo que los hace más capaces y más peligrosos que los chatbots. Las debilidades en la forma en que los agentes se identifican, delegan autoridad o heredan privilegios pueden permitir a los atacantes obtener un acceso superior, abusar de rutas de delegado confundido o realizar acciones no autorizadas entre sistemas. Verificaciones débiles de autenticación, integridad o semántica en los mensajes entre agentes pueden abrir la puerta a suplantación, manipulación, reemisión o engaño. Los agentes pueden convertir herramientas legítimas y autorizadas en canales para el robo de datos o acciones destructivas, y los casos observados incluyen agentes que eliminan bases de datos y borran discos duros. La auditoría siguiente pone a prueba los controles que impiden que el mal uso se convierta en un incidente.

• Confirme el nivel de parche. Verifique la compilación autoalojada de ServiceNow contra la lista de compilaciones parcheadas del proveedor.
• Verifique la autenticación. Confirme que la API de datos rechaza las solicitudes anónimas y requiere una identidad acotada.
• Acopte las credenciales del agente. Otorgue al agente los derechos mínimos de tabla, campo y acción necesarios para su función.
• Mapee las llamadas del agente a la API. Registre cada llamada que el agente realiza a la API de datos y compárela con el flujo de trabajo esperado.
• Pruebe la accesibilidad sin autenticación. Desde una red no confiable, intente acceder a la API de datos sin credenciales y confirme que falla.

El parche elimina el defecto conocido. Sin él, cada verificación posterior es un arreglo temporal. La autenticación es el primer control. Un control fallido expone el acceso a datos del agente. El alcance limita el daño y facilita la auditoría del agente. Un mapa de llamadas convierte el comportamiento del agente en evidencia y revela desviaciones cuando el agente comienza a usar una herramienta que no debería necesitar. La prueba sin autenticación es la primera verificación que realiza un atacante. Ejecútela desde fuera de la red confiable.

El alcance mantiene al agente acotado

Los sistemas modernos permiten que las salidas del modelo disparen llamadas a herramientas, generación de código, inferencia de estado, autorización de acciones y coordinación multiagente, de modo que la desinformación puede convertirse en una falla a nivel de sistema. La guía LLM Top 10 de OWASP del 2 de septiembre de 2026 exige controles aplicables sobre lo que los sistemas de IA autónomos pueden acceder, decidir y hacer, asumiendo que pueden fallar o ser engañados. El Agent Control Standard fue donado al OWASP GenAI Security Project, y la publicación del 2 de septiembre de 2026 extiende la orientación de IA agéntica hacia una aplicación práctica en tiempo de ejecución. La lista de verificación anterior es la versión mínima de ese conjunto de controles.

Ejecute la auditoría después de cada despliegue de agente, después de cada parche de plataforma y después de cualquier cambio en los permisos del agente. Guarde los resultados junto con el runbook del agente. Una verificación fallida activa una detención, una corrección y una reprobación. Un agente de producción no debería estar operando sobre una API de datos que no pueda demostrar que está contenida.

Trate la API de datos del agente como un servicio de producción, no como un punto final de laboratorio. Asigne un propietario con nombre, un registro de cambios y una ruta de reversión. Para el acceso de escritura, añada una segunda verificación antes de las acciones destructivas. Para el acceso de lectura, añada una revisión de patrones de consulta inusuales.