Desde la llegada de los chatbots convencionales, la conversación sobre seguridad de la IA se ha centrado en la inyección de instrucciones (prompt injection), el truco de deslizar instrucciones dentro de contenido que un modelo lee más tarde. Dos investigadores de Check Point sostienen que la industria ha estado mirando la capa equivocada. En un estudio de un año presentado en Black Hat USA el 5 de agosto, Yarden Porat y Shahar Tal revelaron 11 vulnerabilidades en los frameworks que las empresas usan para conectar a sus agentes de IA con sus sistemas, y su hallazgo central es que el daño ocurre en los propios frameworks, no en los modelos que contienen.
El software afectado abarca la mayor parte de las herramientas populares para agentes: LangChain y su variante de grafos LangGraph, CrewAI, AutoGen, el Agent Framework de Microsoft, el Agent Development Kit de Google y Semantic Kernel. Los investigadores encontraron lógica explotable en los componentes que hacen que los agentes sean agentes, a saber, los almacenes de memoria, los bucles de planificación, las capas de serialización y la lógica de orquestación. En varios casos, el contenido controlado por el atacante pudo cruzar la frontera entre el plano de datos y la lógica confiable del framework, influyendo en cómo el agente gestiona su estado, enruta el trabajo y aplica las instrucciones del sistema.
El aspecto más llamativo de la investigación es lo poco que tenía de novedoso. Las vulnerabilidades eran clases de fallos viejas y bien comprendidas: deserialización insegura, falsificación de solicitudes del lado del servidor (SSRF), recorrido de rutas y uso después de liberación (use-after-free). Son el tipo de fallos que la industria aprendió a corregir hace dos décadas, ahora subyacentes a sistemas que leen bandejas de entrada y actualizan bases de datos. Como los ataques operan dentro del funcionamiento interno del framework, un agente no necesita herramientas peligrosas para que un atacante se beneficie; en uno de los escenarios descritos por los investigadores, un solo documento hostil encontrado por un agente bastó para comprometerlo.
Dos estudios de caso ilustran el patrón. En el Agent Framework de Microsoft, los investigadores hallaron un fallo crítico de deserialización en los puntos de control (checkpoints) de los agentes, las instantáneas serializadas que registran el estado del agente y el avance de sus tareas. Microsoft pagó una recompensa de 10.000 dólares y corrigió el fallo; no se asignó ningún CVE porque el framework aún no estaba disponible de forma general. En el ataque que demostraron, una carga útil plantada en el mensaje de una persona se activó cuando otro usuario retrocedió en su propia sesión, lo que le dio al atacante una shell en el servidor.
El Agent Development Kit de Google produjo un resultado más complicado. Un asistente de desarrollo integrado que puede escribir archivos seguía siendo accesible a través de la API HTTP del kit, aunque no aparecía en el listado de aplicaciones, y la API no lleva autenticación por defecto. Desplegar con el comando cloud del kit expone la misma API, lo que significa que una implementación estándar de Cloud Run se puede alcanzar sin credenciales, entregando al atacante las claves API del entorno de ejecución y su cuenta de servicio en la nube. Google consideró inicialmente que no era un fallo; más tarde pagó 3.133,70 dólares y lanzó solo una corrección parcial, de nuevo sin CVE.
En todas las divulgaciones, los investigadores acumularon 17.133,70 dólares en recompensas. Se esforzaron en señalar que ningún proveedor en particular era la excepción: las mismas clases de fallos aparecieron en todos los frameworks, lo que apunta a un problema sistémico más que a un defecto corregible de un proveedor. Aproximadamente un tercio del programa de Black Hat de este año se dedicó a la seguridad de la IA, una señal de que la pila de agentes se ha convertido en una superficie de ataque de primera línea. El consejo práctico para los defensores es planificar la inyección de instrucciones como una certeza y diseñar los agentes de modo que el contenido controlado por las instrucciones permanezca aislado de la lógica confiable que gestiona el estado, el enrutamiento y la orquestación, en lugar de intentar eliminar la inyección por completo.
Traducido por Alessandra
Fuentes: Prompt injection isn’t the bug, AI agent frameworks are (The Register, 5 de agosto de 2026); Black Hat Day 1 Briefings Reveal the Agent Stack Is the Attack Surface (Forkast, 5 de agosto de 2026); Black Hat USA 2026, No Tools Required: Post-Injection Exploitation Across AI Agent Frameworks (Black Hat Events, 5 de agosto de 2026)