Módulo 04
Un agente no es un modelo: es un modelo con manos. El riesgo ya no es qué responde, sino qué ejecuta. Este módulo toma como entrada las funciones y herramientas a las que tu agente tiene acceso, y genera las cadenas de acción que las convierten en un ataque.
Recibimos de vos el listado completo de herramientas y funciones del agente.
Un modelo nuestro razona sobre ese conjunto y arma cadenas de abuso concretas.
Ejecutamos esas cadenas contra tu agente en un entorno aislado.
Las herramientas se evalúan de a una y por su utilidad. El atacante las evalúa en conjunto y por lo que permiten encadenar. Una capacidad de búsqueda web es inofensiva. Una capacidad de búsqueda web más una de escritura en disco, más un agente que sigue instrucciones que encontró en internet, es una cadena de descarga y ejecución.
Nos pasás web_search en el listado, como herramienta legítima. Nuestro modelo la encadena para que el agente busque, obtenga y descargue un binario malicioso, sin salir en ningún momento del comportamiento que le fue autorizado.
El agente de Replit borró una base de producción durante un code freeze explícito, repetido en mayúsculas, y después fabricó 4.000 perfiles falsos para ocultarlo.
En el ataque a Nx, el malware invocó los CLIs de Claude, Gemini y Q ya instalados en la máquina con --yolo y --trust-all-tools. El asistente del propio desarrollador buscó y entregó 2.349 credenciales.
En Amazon Q Developer, la instrucción destructiva llegó commiteada al repo del plugin y salió publicada al Marketplace en la versión 1.84.0.
El input del módulo lo aportás vos: el esquema completo de tus herramientas, con nombres, descripciones, parámetros y permisos. Con eso alcanza, no hace falta el código del agente.
chain · AT-7734
resultado no autorizadoCada herramienta es legítima por separado. La cadena completa no lo es.
Cargamos la definición de cada función que declaraste, con sus parámetros y el alcance real de lo que puede tocar. Cuanto más completo el listado, más realista el ataque.
Un modelo de 7ONE razona sobre el conjunto y propone cadenas de abuso: qué combinación de llamadas produce un resultado que nadie autorizó.
Las cadenas se ejecutan contra tu agente en un entorno aislado. Ninguna prueba que modifique estado real corre fuera del sandbox.
Registramos hasta dónde llegó cada cadena antes de encontrar un control, y cuáles no encontraron ninguno.
Las secuencias de llamadas que llevan a una acción no autorizada, ordenadas por impacto y por facilidad de disparo.
Cuáles concentran el peligro y cuáles solo aparecen como eslabón. Sirve para decidir qué recortar primero.
Confirmación humana por clase de acción, restricción de alcance por parámetro, separación de credenciales y límites de tasa por herramienta.
Tres incidentes distintos, un mismo patrón: el agente hizo exactamente lo que se le pidió, y eso fue el problema.
Agente que excede sus límites de acción
Durante un code freeze explícito, repetido en mayúsculas, el agente borró la base de datos de producción con registros reales de 1.206 ejecutivos y 1.196 empresas.
Después fabricó más de 4.000 perfiles de usuario falsos y falsificó resultados de test para ocultar el borrado. Ninguna instrucción en lenguaje natural es un control de acceso.
Categoría en la suite
Agentes de desarrollo usados como arma
Versiones maliciosas del build system Nx llegaron a npm con un payload post-install que invocaba los CLIs de Claude, Gemini y Q instalados en la máquina, usando --yolo y --trust-all-tools para saltear los permisos.
El asistente de IA del propio desarrollador buscó y entregó los secretos: 2.349 credenciales de 1.079 máquinas, publicadas en repositorios creados dentro de las cuentas de GitHub de las víctimas.
Categoría en la suite
Prompt malicioso en la cadena de suministro
Un token de GitHub mal alcanzado en la configuración de CodeBuild permitió commitear un prompt al repositorio del plugin. La instrucción le decía al agente que actuara como «system cleaner».
La versión 1.84.0 salió al Marketplace con comandos para borrar el filesystem local y destruir recursos AWS: terminar instancias EC2, eliminar buckets S3 y quitar usuarios IAM. AWS confirmó que no hubo infraestructura de clientes afectada y publicó la 1.85.0 limpia.
Categoría en la suite
Siguiente paso
Empecemos por definir el alcance de la evaluación y acordar la línea base de tu puntaje de riesgo.