La confianza es el objetivo: los nuevos ataques a la cadena de suministro en la era de la IA

      Los hackers ya no están realmente infiltrándose. Están entrando por puertas que mantenemos abiertas para ellos.

      La semana pasada hizo evidente el cambio. Dos campañas mostraron que las cosas en las que los desarrolladores más confían, el código de código abierto y las herramientas de IA, se han convertido en la forma más fácil de atacarlos.

      1,000 paquetes envenenados

      El primero es un grupo llamado TeamPCP. En menos de cuatro meses, ha inyectado código malicioso en más de 1,000 paquetes de software de código abierto, según CyberScoop. Comenzó con una sola herramienta en febrero y apenas ha disminuido desde entonces.

      El método no es ingenioso, y ese es el punto. La mayoría de las empresas incorporan código automáticamente y rara vez verifican que sea seguro. TeamPCP simplemente abusa de esa fe ciega. Juntos, los paquetes envenenados acumulan aproximadamente 500 millones de descargas a la semana.

      Las víctimas nombradas son un quién es quién: Bitwarden, Red Hat, SAP, PyTorch Lightning, incluso GitHub mismo. Sin embargo, el grupo no parece estar persiguiendo dinero. Los investigadores dicen que busca caos y notoriedad, habiendo embolsado solo alrededor de $90,000 en extorsión. Una firma de seguridad ahora estima que hay aproximadamente 1 de cada 10 posibilidades de que cualquier paquete que una organización instale pueda desencadenar un ataque activo.

      La IA lo empeora

      La IA está echando leña al fuego. Los desarrolladores solían verificar sus dependencias, aunque de manera laxa. Ahora, los agentes de codificación instalan paquetes por su cuenta, a menudo sin que un humano lo verifique. “En algunos casos, prácticamente no hay humanos en el proceso”, dijo Feross Aboukhadijeh de Socket a CyberScoop.

      Esos mismos agentes también son objetivos. Los investigadores han demostrado que un informe de error falso puede secuestrar un agente de codificación de IA y hacer que ejecute los comandos de un atacante. Los gusanos de auto-propagación ya están arrasando los registros de código, y una extensión de editor envenenada recientemente permitió a los atacantes robar miles de repositorios de GitHub.

      Incluso Claude se convirtió en un arma

      La segunda campaña es más sigilosa. Los hackers volvieron a Claude de Anthropic contra sus propios usuarios. Abusaron de “Chats Compartidos”, una función que permite a las personas publicar enlaces públicos a conversaciones pasadas.

      Así es como funcionó. Los atacantes organizaron chats falsos de “Soporte de Apple” en claude.ai, diciendo a los desarrolladores de macOS que pegaran un comando en su Terminal. Luego compraron anuncios en Google para búsquedas como “Claude Code en Mac” para enviar a las víctimas allí. Dado que los enlaces estaban en el propio dominio de confianza de Claude, parecían seguros.

      Trend Micro contó más de 2,000 víctimas, la mayoría en la región de Asia-Pacífico. Anthropic desde entonces ha prohibido las cuentas y deshabilitado las conversaciones.

      Por qué es importante

      El hilo que une todo esto es la confianza. Los atacantes ya no necesitan un exploit ingenioso. Solo necesitan algo en lo que ya crees: un registro de paquetes, un agente de codificación, un dominio familiar. Como dijo un boletín de la industria, “legítimo” no es lo mismo que “seguro”.

      Para la industria, eso es un reinicio incómodo. Significa observar las herramientas en las que la gente confía, no solo los archivos que descargan. Significa tratar la instalación de un paquete como ejecutar código, y un agente de IA como una cuenta de usuario. La web no se rompió esta semana. Simplemente se utilizó exactamente como se diseñó, lo que puede ser el problema más difícil de solucionar.