Manifold Security documentó ocho fallas en siete agentes de línea de comandos que permiten ejecución arbitraria mediante configuraciones de Git maliciosas.
Investigadores de Manifold Security divulgaron ocho vulnerabilidades de seguridad en siete agentes de codificación basados en inteligencia artificial que operan desde línea de comandos, incluyendo Claude, Codex y Cursor. El vector de ataque explota configuraciones maliciosas de Git para ejecutar código arbitrario en la máquina del desarrollador con los permisos del usuario, fuera del sandbox del agente y sin solicitar aprobación. Al momento de la publicación, cuatro de las ocho fallas permanecían sin parche.
Cómo un archivo de configuración se convierte en puerta trasera
El mecanismo de ataque se basa en archivos `.git/config` manipulados dentro de repositorios aparentemente legítimos. Cuando un agente de IA procesa el repositorio para asistir al desarrollador — ya sea analizando código, sugiriendo cambios o ejecutando tareas automatizadas — lee la configuración de Git del proyecto. Si esa configuración contiene directivas maliciosas que nombran comandos específicos, el agente los ejecuta directamente en el sistema operativo del usuario.
La ejecución ocurre con los privilegios completos del desarrollador, no dentro del entorno aislado (sandbox) que muchos de estos agentes implementan para limitar el alcance de las operaciones de IA. Tampoco se presenta ningún prompt de confirmación al usuario antes de ejecutar el comando. El único requisito para que el ataque funcione es que el repositorio malicioso llegue al desarrollador — ya sea clonado manualmente, descargado como parte de una dependencia, o recibido en un contexto de revisión de código.
Por qué los agentes de línea de comandos amplían la superficie de ataque
Los agentes de IA para codificación que operan desde terminal han ganado adopción en los últimos dos años porque permiten automatizar flujos de trabajo complejos sin salir del entorno de desarrollo habitual del programador. A diferencia de los asistentes integrados en editores gráficos, estos agentes tienen acceso directo al sistema de archivos, al historial de Git, y a las herramientas de compilación y testing del proyecto.
Esa integración profunda es también su debilidad estructural. Manifold Security identificó que varios de estos agentes confían en la configuración de Git como fuente de metadatos del proyecto, sin validar que esas directivas no contengan instrucciones ejecutables. El problema no es exclusivo de un solo proveedor: afecta a siete herramientas distintas, lo que sugiere un patrón de diseño compartido en el ecosistema de agentes CLI para desarrollo asistido por IA.
Cuatro herramientas siguen expuestas después de la divulgación
De las ocho vulnerabilidades reportadas, cuatro permanecían sin parche en el momento en que Manifold Security publicó sus hallazgos. No se especificó públicamente qué agentes específicos quedaron sin corrección, pero la divulgación confirma que al menos la mitad de las herramientas afectadas ya implementaron mitigaciones.
La persistencia de fallas sin resolver después de un proceso de divulgación responsable plantea interrogantes sobre los tiempos de respuesta en un segmento de herramientas que todavía no tiene estándares de seguridad consolidados. Los agentes de IA para código son productos relativamente nuevos, muchos de ellos mantenidos por startups o equipos pequeños que no necesariamente cuentan con procesos de gestión de vulnerabilidades equivalentes a los de proveedores de software empresarial tradicional.
En América Latina, donde la adopción de herramientas de desarrollo asistido por IA ha crecido especialmente en equipos de startups tecnológicas de Argentina, Brasil, México y Colombia, la exposición es doble: estos equipos suelen trabajar con repositorios de terceros (librerías open source, plantillas de proyectos, código de ejemplo) sin procesos formales de auditoría de seguridad antes de integrarlos al entorno local. Un repositorio malicioso distribuido a través de foros de desarrollo, tutoriales en video o paquetes de dependencias podría comprometer múltiples máquinas de desarrolladores sin que el ataque deje rastro evidente en logs de seguridad corporativos.
Nuestro análisis
Este caso expone una brecha de confianza implícita en el diseño de agentes de IA para desarrollo: la suposición de que los metadatos del proyecto (archivos de configuración, manifiestos, scripts de build) son neutrales y no requieren sanitización antes de ser procesados por herramientas automatizadas. Es el mismo patrón que ya se vio en ataques de supply chain contra gestores de paquetes (npm, PyPI) y en exploits de CI/CD que abusan de archivos de configuración de pipelines.
La diferencia es que los agentes de IA operan con un nivel de autonomía mayor: no solo leen configuraciones, sino que las interpretan y actúan sobre ellas sin intervención humana explícita en cada paso. Eso convierte cada repositorio clonado en un vector potencial de ejecución remota de código, especialmente en flujos de trabajo donde el desarrollador confía en que el agente «entiende» el proyecto y puede operar sobre él de forma segura.
Lo que todavía no se sabe es si alguno de los agentes sin parche tiene mitigaciones parciales (por ejemplo, restricciones en qué comandos pueden ejecutarse desde configuraciones de Git) o si la exposición es total. Tampoco está claro si existen casos documentados de explotación en entornos reales, o si la divulgación llegó antes de que el vector fuera weaponizado. ¿Cuántos repositorios maliciosos tendrían que circular en comunidades de desarrollo de la región antes de que este tipo de ataque deje de ser teórico y se convierta en un incidente de compromiso masivo de estaciones de trabajo?