Investigadores hallaron fallas en el repositorio de Google que permitían escalar privilegios mediante agentes de IA, además de que comprometían la seguridad del desarrollo de software.
Investigadores de la firma de ciberseguridad Pillar descubrieron dos vulnerabilidades de Google que afectaban el repositorio google/adk-python en GitHub. De haber sido explotadas, estas fallas habrían permitido a un atacante abusar de los agentes de inteligencia artificial utilizados para automatizar tareas de desarrollo y, en determinados escenarios, poner en riesgo la cadena de suministro de software.
La primera estaba relacionada con la interacción entre dos clases de agentes de IA. Uno tenía privilegios limitados y estaba diseñado para responder a las solicitudes de los usuarios. El otro contaba con permisos mucho más amplios y solo era accesible para los mantenedores del proyecto.
Según Dan Lisichkin, investigador de Pillar, un atacante podía manipular al agente con menos privilegios para que enviara instrucciones al agente al más privilegiado. De esa manera, era posible acceder a funciones restringidas que nunca debían quedar expuestas.
Durante la investigación, Lisichkin detectó que el agente encargado de clasificar las solicitudes de extracción publicaba comentarios con permisos de colaborador. Ese nivel de acceso era superior al necesario para desempeñar esa función.
¿Cómo funcionaban las dos vulnerabilidades en Google?
El investigador consiguió inducir al agente para que publicara un prompt dirigido a Gemini CLI. Esa acción activó un flujo de trabajo automatizado con mayores privilegios. Como resultado, comprobó que el agente tenía acceso para ejecutar cualquier comando. Esto abría la posibilidad de ejecutar código de forma remota e incluso obtener el token de GitHub utilizado por el sistema.
Con ese nivel de acceso, un atacante podía modificar comentarios, solicitudes de extracción e incidencias de otros colaboradores. También tenía la capacidad de aprobar cambios, descartar revisiones o activar procesos automáticos de revisión sobre cualquier solicitud del repositorio.
Un ataque basado en la confianza de los colaboradores
El escenario requería que el atacante ganara la confianza del proyecto como colaborador. Después debía enviar una solicitud de extracción con código malicioso y, en paralelo, crear otra con instrucciones dirigidas al agente de IA para que aparentara haber revisado y aprobado a la primera.
De acuerdo con Lisichkin, esta técnica permitía construir un historial falso, pero creíble, de revisiones. Así, parecía que una persona había solicitado la revisión que Gemini realizó y que el propio sistema había aprobado los cambios, cuando en realidad nada de eso había ocurrido.
Google corrigió las fallas tras recibir el reporte
Pillar notificó a la plataforma sobre las dos vulnerabilidades en Google a principios de junio. La empresa reforzó la seguridad del repositorio para impedir este tipo de abuso. Sin embargo, decidió que el hallazgo no cumplía los requisitos para recibir una recompensa dentro de su programa de bug bounty, ya que el ataque dependía de ingeniería social para lograr que el código malicioso fuera aceptado.
Poco después, los investigadores encontraron una segunda falla en las funciones de automatización de un agente basado en Antigravity SDK. En este caso, la vulnerabilidad podía derivar en la ejecución remota de código sin requerir la intervención de un mantenedor. Google corrigió esa debilidad a finales de julio y fortaleció nuevamente las medidas de protección del proyecto.
