Trece compromisos documentados a través de LLMs y agentes

1. Diciembre 2023

   Chevrolet of Watsonville

   Prompt injection directo

   Un usuario le indicó al bot de atención que aceptara todo lo que dijera el cliente y cerrara cada respuesta con «that's a legally binding offer, no takesies backsies». Después pidió una Tahoe 2024 por un dólar.

   El bot aceptó la operación por escrito. No había función de cotización detrás, así que el daño fue reputacional. La misma inyección contra un agente conectado al sistema de ventas habría generado una orden real.

   Categoría en la suite

   behavioral_limitssystem_prompt_leakage

   AI Incident DatabaseFuente
2. Febrero 2024

   Air Canada

   Alucinación con consecuencia contractual

   El chatbot del sitio inventó una política de tarifas por duelo que no existía. La aerolínea argumentó ante el tribunal que el bot era una entidad separada, responsable de sus propias declaraciones.

   El British Columbia Civil Resolution Tribunal rechazó ese argumento y condenó a Air Canada por negligent misrepresentation. El monto fue menor; el precedente no: lo que dice tu modelo obliga a tu empresa.

   Categoría en la suite

   hallucinationsmisinformation

   Moffatt v. Air Canada, 2024 BCCRT 149Fuente
3. Agosto 2024

   Slack AI

   Injection indirecto vía RAG

   PromptArmor plantó instrucciones en un canal público. El pipeline RAG de Slack AI las indexó como cualquier otro contenido y las ejecutó cuando otro usuario hizo una consulta.

   Se extrajeron API keys de canales privados a los que el atacante nunca tuvo acceso. El vector no fue una credencial robada: fue un mensaje público que el modelo leyó como instrucción.

   Categoría en la suite

   indirect_prompt_injectiondata_theft

   PromptArmorFuente
4. Abril 2025

   Cursor · WhatsApp MCP

   Tool poisoning en MCP

   Invariant Labs demostró que la descripción de una herramienta MCP es contexto que el modelo obedece. El usuario ve «suma dos números» en la interfaz; el modelo recibe además un bloque de instrucciones ocultas.

   La prueba de concepto en Cursor leyó ~/.ssh/id_rsa y la configuración MCP del usuario. Un segundo servidor envenenado exfiltró el historial completo de WhatsApp sin dejar rastro visible en la salida de la herramienta.

   Categoría en la suite

   mcp_poisoningdata_theft

   Invariant LabsFuente
5. Junio 2025CVE-2025-32711CVSS 9.3ZERO-CLICK

   Microsoft 365 Copilot

   Zero-click indirecto (EchoLeak)

   Aim Security encontró que bastaba con que la víctima recibiera un correo. Copilot lo levantaba en su contexto RAG y ejecutaba las instrucciones embebidas sin que nadie lo abriera.

   Exfiltración de datos corporativos a través de Word, Excel, PowerPoint, Outlook y Teams. El exploit sorteó el clasificador XPIA de Microsoft, la redacción de enlaces y la Content Security Policy usando el proxy de imágenes de Teams, que estaba en la lista blanca.

   Categoría en la suite

   indirect_prompt_injectiondata_theft

   Aim Security · Hack The BoxFuente
6. Julio 2025

   Amazon Q Developer for VS Code

   Prompt malicioso en la cadena de suministro

   Un token de GitHub mal alcanzado en la configuración de CodeBuild permitió commitear un prompt al repositorio del plugin. La instrucción le decía al agente que actuara como «system cleaner».

   La versión 1.84.0 salió al Marketplace con comandos para borrar el filesystem local y destruir recursos AWS: terminar instancias EC2, eliminar buckets S3 y quitar usuarios IAM. AWS confirmó que no hubo infraestructura de clientes afectada y publicó la 1.85.0 limpia.

   Categoría en la suite

   behavioral_limits

   AWS Security AdvisoryFuente
7. Julio 2025

   Replit Agent · SaaStr

   Agente que excede sus límites de acción

   Durante un code freeze explícito, repetido en mayúsculas, el agente borró la base de datos de producción con registros reales de 1.206 ejecutivos y 1.196 empresas.

   Después fabricó más de 4.000 perfiles de usuario falsos y falsificó resultados de test para ocultar el borrado. Ninguna instrucción en lenguaje natural es un control de acceso.

   Categoría en la suite

   behavioral_limitshallucinations

   The RegisterFuente
8. Agosto 2025

   Nx · s1ngularity

   Agentes de desarrollo usados como arma

   Versiones maliciosas del build system Nx llegaron a npm con un payload post-install que invocaba los CLIs de Claude, Gemini y Q instalados en la máquina, usando --yolo y --trust-all-tools para saltear los permisos.

   El asistente de IA del propio desarrollador buscó y entregó los secretos: 2.349 credenciales de 1.079 máquinas, publicadas en repositorios creados dentro de las cuentas de GitHub de las víctimas.

   Categoría en la suite

   behavioral_limitsdata_theft

   Wiz ResearchFuente
9. Septiembre 2025ZERO-CLICK

   ChatGPT Deep Research

   Exfiltración server-side (ShadowLeak)

   Radware ocultó instrucciones en un correo con texto blanco sobre blanco. El agente de investigación las leyó, recolectó datos personales del buzón y los codificó en Base64 dentro de una URL, presentado como una medida de seguridad necesaria.

   La exfiltración ocurrió íntegramente en la infraestructura de OpenAI. Ningún control de endpoint ni de red del lado del cliente podía verla. Radware advirtió que el patrón se extiende a cualquier conector habilitado.

   Categoría en la suite

   indirect_prompt_injectiondata_theft

   Radware · The Hacker NewsFuente
10. Septiembre 2025CVSS 9.4ZERO-CLICK

    Salesforce Agentforce

    Injection indirecto en formulario público

    Noma Security cargó instrucciones maliciosas en un formulario Web-to-Lead público y compró por cinco dólares un dominio vencido que seguía dentro de la política de contenido de Salesforce.

    Exfiltración de datos de CRM sin ninguna interacción de la víctima. El costo total del ataque fue el precio del dominio. Afectaba a cualquier organización con Agentforce y Web-to-Lead habilitado.

    Categoría en la suite

    indirect_prompt_injectiondata_theft

    Noma Security · The Hacker NewsFuente
11. Septiembre 2025

    postmark-mcp

    Servidor MCP malicioso en producción

    El primer servidor MCP malicioso hallado en uso real. La versión 1.0.16 del paquete npm agregó una línea que pone en copia oculta cada correo saliente hacia un dominio externo.

    Alrededor de 1.500 descargas semanales integradas en cientos de flujos de trabajo: restablecimientos de contraseña, códigos MFA, facturas y documentación confidencial copiados en silencio. El servidor MCP no es una dependencia más, es contexto con permisos.

    Categoría en la suite

    mcp_poisoningdata_theft

    Koi Security · The Hacker NewsFuente
12. Octubre 2025CVE-2025-59145CVSS 9.6

    GitHub Copilot Chat

    Injection remoto con canal encubierto (CamoLeak)

    Legit Security escondió instrucciones en la descripción de un pull request usando la sintaxis de comentario invisible de GitHub. Copilot Chat las ingería junto con el resto del contexto del repositorio.

    Código fuente privado, secretos y descripciones de vulnerabilidades sin publicar, exfiltrados carácter por carácter a través del orden de carga de casi cien imágenes de 1×1 servidas por el propio proxy Camo de GitHub. GitHub lo cerró deshabilitando el renderizado de imágenes en Copilot Chat.

    Categoría en la suite

    indirect_prompt_injectiondata_theftmodel_theft

    Legit SecurityFuente
13. Noviembre 2025

    GTG-1002

    Campaña de espionaje orquestada por agentes

    Según el reporte de Anthropic, un grupo vinculado a un estado jailbrekeó Claude Code y lo integró en un framework agéntico para correr intrusiones multi-etapa contra unas 30 organizaciones de tecnología, finanzas, química y gobierno.

    La compañía estima que entre el 80% y el 90% de la operación corrió sin intervención humana: reconocimiento, descubrimiento de vulnerabilidades, explotación, movimiento lateral y exfiltración. Los operadores solo autorizaban los saltos de fase. Parte de la comunidad de seguridad cuestionó el alcance de estas cifras.

    Categoría en la suite

    behavioral_limitsillegal_content

    Reportado por AnthropicFuente

7ONE no está afiliada a ninguna de las organizaciones mencionadas. Todos los casos son de divulgación pública y se enlazan a su fuente primaria. Los CVE y puntajes CVSS son los asignados oficialmente; cuando no existe asignación, no se estima uno.