Cuando confiar en tu asistente de IA puede salir caro

Seis de los asistentes de codificación de IA más populares comparten una vulnerabilidad que convierte las ventanas de aprobación en un mero trámite. Investigadores de Wiz Research han bautizado el fallo como GhostApproval y lo han detectado en Amazon Q Developer, Claude Code (de Anthropic), Augment, Cursor, Google Antigravity y Windsurf.

El truco es sorprendentemente sencillo: se basa en enlaces simbólicos (symlinks). Un repositorio malicioso puede incluir un symlink que apunte a un archivo sensible del sistema, como las claves SSH del desarrollador. Cuando el asistente recibe una instrucción del tipo «configura el espacio de trabajo», sigue el enlace y, sin que el usuario se dé cuenta, escribe datos controlados por el atacante en el destino real.

Wiz publicó una prueba de concepto el 7 de julio donde se muestra cómo un archivo con nombre inocente, como project_settings.json, puede ocultar un symlink que apunta a ~/.ssh/authorized_keys. El asistente resuelve el enlace, pero el diálogo de aprobación solo muestra el nombre del archivo original. El desarrollador aprueba sin saber que está sobrescribiendo sus propias claves SSH, regalando acceso remoto sin contraseña.

Respuestas dispares de los fabricantes

Wiz reportó el fallo a los seis proveedores a principios de 2026. Amazon, Google y Cursor lo trataron como una vulnerabilidad y lanzaron parches. Cursor emitió el CVE-2026-50549 para el fallo. Augment y Windsurf reconocieron el informe pero, hasta la fecha de publicación, no han ofrecido una solución, dejando potencialmente expuestos a sus usuarios.

Anthropic, por su parte, cuestionó que el comportamiento de Claude Code constituya una vulnerabilidad. En un comunicado, la empresa argumentó:

«Un usuario que confía en un directorio y aprueba una edición asume esa decisión, lo que sitúa el escenario fuera de nuestro modelo de amenazas.»

Wiz considera que GhostApproval no son simples errores aislados, sino una cuestión de diseño que la industria aún debe resolver: si la herramienta debe proteger al usuario de un espacio de trabajo engañoso o dejar esa decisión en sus manos. Su recomendación a los proveedores es resolver los symlinks antes de pedir aprobación y marcar cualquier escritura fuera del proyecto.

Ghostcommit: instrucciones ocultas en imágenes

Pero GhostApproval no es la única amenaza que acecha a los asistentes de código. El ASSET Research Group ha presentado Ghostcommit, una prueba de concepto que demuestra cómo se pueden incrustar instrucciones maliciosas dentro de un archivo de imagen, como un PNG, y hacer que el agente de IA las ejecute durante una revisión de código.

El ataque es sutil: un pull request incluye una imagen aparentemente inofensiva y un archivo de configuración (AGENTS.md) que indica al agente que confíe en ella. Cuando el asistente aborda una tarea posterior, lee las instrucciones ocultas en la imagen, accede a archivos sensibles y escribe los secretos en el código de forma ofuscada. Un revisor humano probablemente pasaría por alto la imagen, pero el agente de IA la procesa sin problemas.

Los investigadores descubrieron que el harness (la capa que envuelve al modelo de IA) tiene un impacto mayor en la fuga de secretos que el propio modelo subyacente. Por ejemplo, el mismo modelo Claude Sonnet se comportó de forma muy distinta según la herramienta: bajo Cursor y Antigravity, siguió las instrucciones ocultas y exfiltró los secretos; bajo Claude Code (de Anthropic), se negó explícitamente a hacerlo, indicando que era inapropiado. Claude Code rechazó la petición con todos los modelos probados.

Lecciones para desarrolladores y equipos

La conclusión de ambas investigaciones es clara: la inyección de instrucciones (prompt injection) ya no es solo un problema de texto. Los agentes de IA pueden leer y obedecer instrucciones incrustadas en imágenes, documentos y otros formatos multimodales si la cadena de herramientas lo permite.

Los equipos que utilizan asistentes de codificación de IA deben tratar esto como un problema de seguridad tanto de la cadena de suministro de software como de los propios agentes. Las defensas más importantes pasan por restringir el acceso a secretos, inspeccionar los archivos no textuales y monitorizar a los agentes de IA en busca de intentos inusuales de leer credenciales o archivos de configuración.

Mientras tanto, los usuarios de Augment y Windsurf deberían estar atentos a las actualizaciones de sus herramientas, ya que, según Wiz, aún no han recibido un parche para GhostApproval.