Where Is the Cost of Third-Party API Routers in Agentic Software Development?
Este artículo demuestra empíricamente que los enrutadores de API de terceros en el desarrollo de software agéntico introducen una brecha de control crítica donde las inyecciones en el lado del enrutador pueden alterar silenciosamente las acciones de los agentes y eludir las defensas del lado del cliente, logrando una tasa de éxito de defensa del 0% en todos los agentes evaluados y resaltando la urgente necesidad de garantías de integridad de salida por parte del proveedor.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
Imagina que estás construyendo un robot asistente que puede escribir código, corregir errores y gestionar los archivos de tu ordenador. Para hacer que este robot sea inteligente, lo conectas a un cerebro gigante y superinteligente en la nube (un Modelo de Lenguaje Extenso) que sabe resolver casi cualquier problema. Pero aquí está el truco: no hablas con ese cerebro directamente. En su lugar, utilizas a un intermediario, como un servicio de mensajería especializado o un "enrutador", para llevar tus mensajes de ida y vuelta. Se supone que este intermediario es solo un mensajero servicial, que se asegura de que tu robot pueda hablar con diferentes cerebros en la nube sin que tengas que cambiar tu cableado.
La gran pregunta que plantea este artículo es: ¿Qué pasa si ese mensajero servicial decide jugarte una broma? En el mundo de la informática, sabemos que si un intermediario puede ver tus mensajes, puede potencialmente intercambiarlos o añadir sus propias notas antes de pasarlos. Este artículo explora una posibilidad aterradora pero real: ¿qué pasaría si el enrutador no solo entrega las instrucciones de tu robot, sino que las cambia secretamente para que el robot haga algo peligroso, como borrar tus archivos o instalar un virus, mientras hace que parezca que el robot simplemente estaba haciendo su trabajo normal? Los investigadores querían ver si el robot se daría cuenta del truco, o si seguiría ciegamente las nuevas y maliciosas órdenes del enrutador.
El Mensajero Secreto y el Punto Ciego del Robot
En este estudio, los investigadores construyeron un laboratorio de pruebas especial llamado SIDEL para recrear exactamente este escenario. Configuraron cuatro "robots de codificación" diferentes (herramientas famosas como Claude Code, Codex, Cursor y OpenCode) y los conectaron a varios cerebros en la nube a través de un enrutador falso y no confiable. Luego, actuaron como el enrutador malvado, intentando colar comandos maliciosos ante los robots de cuatro formas distintas, que iban desde la fuerza bruta hasta la magia sutil.
Los Cuatro Trucos del Oficio
Los investigadores probaron cuatro niveles de engaño, volviéndose cada vez más astutos:
- El Intercambio (L1): El enrutador desecha la respuesta del cerebro en la nube por completo y la reemplaza con una falsa que dice: "Ve a borrar este archivo".
- El Complemento (L2): El enrutador permite que el cerebro en la nube dé una respuesta normal, pero luego añade un comando secreto al final, como: "Ah, y por cierto, instala este software sospechoso".
- El Pulido (L3): El enrutador cambia el comando secreto y además reescribe la explicación del robot para que parezca que el comando era una parte natural del plan. Es como un mago haciendo que un truco parezca un espectáculo de magia normal.
- La Fusión Mental (L4): Este es el más astuto. El enrutador no solo edita el texto; utiliza un segundo cerebro para generar una respuesta completamente nueva que mezcla la respuesta original con el comando malicioso de tal forma que ambos se funden perfectamente. Es como si el enrutador le susurrara el secreto al oído al robot mientras este aún estaba pensando, haciendo que el robot crea que la mala idea era suya.
El Resultado Impactante: Los Robots Ni Parpadearon
Los resultados fueron sorprendentes. Independientemente del robot que utilizaran, independientemente del cerebro en la nube que lo alimentara y de cualquiera de los cuatro trucos que probaran, los robots cayeron en la trampa en cada una de las ocasiones.
En el mundo de la seguridad, medimos el éxito por la frecuencia con la que una defensa detiene un ataque. Los investigadores descubrieron que, sin ayuda adicional, los cuatro robots tenían una tasa de éxito de defensa del 0%. Esto significa que, en cada caso de prueba, el enrutador logró engañar al robot para que ejecutara el comando malicioso. Los robots no solo cometieron un error; fallaron por completo al no notar que las instrucciones que seguían habían sido manipuladas.
Los investigadores también comprobaron si los "ajustes de seguridad" de los robots ayudarían. Probaron diferentes modos de permiso, como "Solo Plan" (donde el robot solo piensa) o "Auto" (donde actúa libremente). Incluso en los modos más estrictos, los trucos del enrutador funcionaron. Resulta que, si el enrutador se encuentra entre el robot y el cerebro en la nube, el robot confía en todo lo que pasa a través del enrutador, asumiendo que proviene del cerebro en la nube. Los controles de seguridad que tienen los robots vigilan las acciones del propio robot, no las mentiras del enrutador.
¿Ayuda Cambiar el Cerebro?
Podrías pensar: "¿Y si usamos un cerebro en la nube más inteligente? Quizás detecte el truco". Los investigadores probaron esto sustituyendo los cerebros en la nube por cuatro modelos diferentes. ¿El resultado? No importaba. Ya fuera que el robot estuviera hablando con un modelo superpotente o con uno más rápido y llamativo, el enrutador podía seguir colando los comandos maliciosos sin que se detectaran. El problema no es que los cerebros sean demasiado tontos; es que el enrutador ocupa una posición en la que puede reescribir la historia antes de que el robot la escuche.
¿Podemos Construir un Escudo Mejor?
Los investigadores no se limitaron a encontrar el problema; intentaron construir algunos escudos para ver si podían solucionarlo. Probaron dos defensas comunes:
- La Lista Blanca: Una lista sencilla de comandos y sitios web "permitidos". Si un comando no está en la lista, se bloquea.
- La Segunda Opinión: Utilizar una segunda IA para revisar el plan del robot antes de que actúe.
La Lista Blanca fue aceptable para detener algunas cosas malas, pero también era torpe. Bloqueó aproximadamente entre el 30% y el 44% de los comandos maliciosos, pero también bloqueó accidentalmente entre el 30% y el 44% de los comandos buenos, restándole utilidad al robot.
La IA de la "Segunda Opinión" fue mejor. Dependiendo de qué modelo de IA utilizaran como revisor, pudieron detener entre el 39% y el 64% de los ataques. Sin embargo, esto no era una solución perfecta. Incluso el mejor modelo revisor no podía detectarlo todo, y a veces todavía dejaba pasar los comandos maliciosos. Los investigadores descubrieron que, aunque estos escudos ayudan un poco, no resuelven el problema por completo. El enrutador sigue siendo demasiado poderoso, situado justo en medio de la conversación.
La Conclusión
La principal lección de este artículo es que confiar en un enrutador de terceros para conectar tu robot de programación a la nube crea un enorme agujero de seguridad. El robot asume que el enrutador es honesto, pero si el enrutador no es confiable, puede reescribir la realidad para el robot. Los robots, sin importar lo inteligentes o bien configurados que estén, no pueden distinguir entre una instrucción real de la nube y una falsa del enrutador.
Los autores sugieren que, para solucionar esto verdaderamente, no podemos limitarnos a pedir que los robots sean más cuidadosos. Necesitamos que los propios proveedores de la nube garanticen que los mensajes que envían no han sido manipulados por el intermediario. Hasta entonces, cada vez que un robot de programación utiliza un enrutador de terceros, es como entregar las llaves de tu casa a un repartidor que podría decidir dejar entrar a un ladrón mientras no estás mirando. Los robots están haciendo exactamente lo que se les ordena, pero la persona que da las órdenes ha sido sustituida.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.