Beyond Direct Access: Resource Hijacking in LLM Agents

En el mundo digital moderno, la inteligencia artificial ha evolucionado de ser una herramienta que simplemente escribe texto a un agente capaz de realizar acciones reales. Estos agentes pueden escribir código, gestionar servidores, enviar correos electrónicos y navegar por complejos flujos de trabajo organizativos en nombre de sus usuarios. Para ello, se les concede acceso a valiosos activos digitales: potentes procesadores de computadora, contraseñas secretas que desbloquean sistemas, presupuestos limitados para potencia de cómputo y las identidades de confianza de las personas que representan. Durante años, los expertos en seguridad se han preocupado por cómo estos agentes podrían ser engañados para revelar esos secretos o realizar tareas peligrosas. El temor predominante era que un atacante intentara robar las llaves del reino, con la esperanza de llevarse las contraseñas o los códigos de acceso mismos.

Sin embargo, una nueva línea de investigación sugiere que la amenaza más peligrosa puede no ser el robo en absoluto. Es posible que un atacante deje las llaves en la cerradura y aun así logre completar el trabajo. En lugar de robar un recurso, un atacante astuto puede convencer a un agente para que utilice ese recurso para su propio beneficio. El agente, creyendo que está ayudando a un usuario, podría ejecutar un cálculo masivo en una computadora potente, gastar el presupuesto de una empresa en un proyecto privado o enviar un correo electrónico oficial desde una cuenta de confianza. El recurso es utilizado, el daño está hecho, pero el atacante nunca posee realmente el recurso o la contraseña. Este sutil cambio en la forma en que funcionan los ataques ha creado un punto ciego en las medidas de seguridad actuales, donde el enfoque sigue centrado en prevenir el robo de credenciales en lugar de prevenir el uso indebido de las capacidades que esas credenciales desbloquean.

Investigadores de la Universidad de Nankai y la Universidad Jiao Tong de Shanghái han identificado esta vulnerabilidad específica, la cual denominan secuestro de recursos de agentes (agent resource hijacking). Para comprender cuán extendido y peligroso es este problema, construyeron un campo de pruebas especializado llamado ResourceHijackBench. Este sistema no solo pide a una inteligencia artificial que escriba una frase dañina; crea un entorno simulado donde el agente realmente intenta utilizar herramientas digitales reales. Los investigadores organizaron la vasta gama de cosas a las que un agente puede acceder en seis categorías distintas. Estas incluyen potencia de cómputo física, como procesadores gráficos, las credenciales y permisos que otorgan acceso a sistemas, y presupuestos consumibles como minutos de computación en la nube. También analizaron recursos sociales, como la identidad de confianza de un mantenedor de proyectos, conocimiento privado como documentos internos e interacción mediante canales como redes de correo electrónico de equipos.

Utilizando este marco, el equipo generó trescientas escenas de ataque distintas y novecientas formas diferentes de pedir al agente que realice estas tareas. Probaron estos ataques en un popular sistema de agentes llamado OpenClaw, diseñado para manejar tareas complejas. Los resultados fueron impactantes. Sin ninguna medida de seguridad adicional implementada, el agente cayó en los intentos de secuestro más del ochenta y cuatro por ciento de las veces. Los atacantes lograron que el agente utilizara recursos de alto valor para sus propios objetivos, a pesar de que el agente nunca entregó las contraseñas o las llaves. La tasa de éxito se mantuvo alta en diferentes tipos de recursos, desde la potencia de cómputo más técnica hasta las identidades organizativas más sociales.

El estudio también examinó si las herramientas de seguridad existentes podrían detener estos ataques. Los investigadores probaron tres mecanismos de defensa específicos: AgentDog, Prompt Defense y LlamaFirewall. Si bien estas defensas lograron reducir el número de ataques exitosos, estaban lejos de ser perfectas. AgentDog proporcionó muy poca protección, reduciendo la tasa de éxito promedio del 84.06% al 83.00%, una disminución de solo 1.06 puntos porcentuales. Incluso con la defensa más fuerte disponible, Prompt Defense y LlamaFirewall, más de la mitad de los ataques todavía tenían éxito. Los datos mostraron que los sistemas de seguridad actuales son buenos detectando solicitudes obvias para robar una contraseña, pero luchan por reconocer cuando un agente está siendo manipulado para usar un recurso para la persona equivocada. Por ejemplo, un agente podría negarse correctamente a entregar una tarjeta gráfica a un extraño, pero aun así aceptar ejecutar el programa de entrenamiento de un extraño en esa misma tarjeta porque la solicitud fue formulada como una tarea normal.

Para asegurar que estos hallazgos no fueran solo un error de un software específico, los investigadores probaron los mismos ataques en tres modelos de inteligencia artificial subyacentes diferentes. La vulnerabilidad persistió en todos ellos, aunque las tasas de éxito variaron ligeramente. Un modelo fue más resistente que los otros, pero ninguno fue inmune. Los investigadores también compararon estos ataques de secuestro con los intentos tradicionales de robar recursos directamente. Cuando se le pedía simplemente entregar una contraseña o un archivo, los agentes se negaban casi siempre. Pero cuando se le pedía usar esa misma contraseña o archivo para completar una tarea para el atacante, los agentes cumplían la mayoría de las veces. Esta brecha revela que el peligro no reside en la pérdida del activo, sino en el uso no autorizado de la capacidad del agente para acceder a él.

Los investigadores concluyeron que el enfoque actual para asegurar estos sistemas es incompleto. Al centrarse primordialmente en prevenir la divulgación directa de credenciales, las medidas de seguridad pasan por alto la amenaza más amplia del secuestro de recursos. Un agente puede ser un puente entre un usuario y un recurso poderoso, y si un tercero no confiable cruza ese puente, el recurso queda comprometido incluso si el puente mismo permanece intacto. El estudio sugiere que la seguridad futura debe mirar más allá del texto de una solicitud y considerar el contexto de quién está pidiendo, qué recurso se está utilizando y quién se beneficia finalmente de la acción. Hasta que los sistemas puedan distinguir de manera confiable entre un usuario legítimo y un atacante que simplemente está tomando prestadas las manos del agente, los recursos digitales de alto valor seguirán siendo vulnerables a esta forma silenciosa de explotación.