Las revisiones de seguridad de los agentes de programación deben incluir las extensiones ejecutables que rodean al modelo. La investigación de laboratorio de CERT-EU del 30 de octubre muestra por qué una conversación que parece limpia y un registro de llamadas a herramientas sin actividad no bastan para demostrar que el proceso que la rodea se mantuvo dentro de sus límites permitidos de archivos y red.
En pruebas controladas, CERT-EU modificó copias locales de dos paquetes de terceros usados con Pi y Claude Code. Un disparador en el texto enviado hizo que el código añadido del controlador de eventos recopilara y transmitiera información del host mientras las conversaciones normales continuaban. Los investigadores usaron un laboratorio aislado y credenciales de prueba. No modificaron ni distribuyeron versiones públicas. El informe no aporta pruebas de una intrusión real en los sistemas de una víctima.
El resultado se refiere a las configuraciones probadas. No demuestra que toda extensión sea maliciosa ni que todo control de seguridad de agentes pueda eludirse. El análisis de Maetra es que los responsables del despliegue deben probar el límite de ejecución del proceso completo, junto con los controles sobre las acciones generadas por el modelo.
Pregunte qué proceso puede alcanzar el recurso sensible
Un equipo de ingeniería, a modo de ejemplo, podría permitir que un agente de programación inspeccione un repositorio mientras niega al modelo el acceso a un directorio de credenciales. Esa regla solo es útil dentro del límite donde se aplica. Si una extensión cargada puede leer ese mismo directorio directamente mediante el proceso del host, el equipo tiene una vía de acceso independiente que debe evaluar.
Inicie una revisión del despliegue identificando la identidad del sistema operativo, los directorios montados, el entorno heredado y los permisos de red saliente del proceso que carga extensiones. Luego pregunte qué controles se aplican a ese proceso y cuáles se aplican solo cuando el modelo solicita una operación de herramienta.
Mantenga esas respuestas precisas. Un aviso de permiso del modelo, una regla de montaje del contenedor y una restricción de red pueden proteger partes distintas de un flujo de trabajo. Registre dónde actúa cada uno y qué ocurre cuando la operación se origina en un controlador de extensión. No dé por hecha la cobertura solo porque compartan la misma etiqueta de producto.
Diseñe una prueba inocua que cruce el límite previsto
Maetra recomienda un entorno de prueba autorizado con un secreto deliberadamente falso y un recolector controlado por el equipo de pruebas. No hace falta usar credenciales de producción ni reproducir un mecanismo de robo para responder a la pregunta básica sobre el límite.
Defina el resultado esperado antes de ejecutar la prueba. Por ejemplo, un proceso de extensión no debería poder leer un archivo de prueba fuera de su espacio de trabajo asignado. Una solicitud a un destino de prueba no aprobado debería ser denegada. Haga que el responsable del entorno observe si la regla a nivel de host bloquea la acción y si la monitorización registra el intento.
El plan de prueba debe nombrar el componente que se está ejercitando, su versión, su identidad de ejecución y la restricción pertinente. Una denegación exitosa a nivel de modelo y una denegación exitosa a nivel de host son resultados distintos. Registre ambos cuando ambos importen. Si el entorno permite la operación, documente el recurso alcanzable y decida cómo reducir ese acceso antes de ampliar el despliegue.
Este es un proceso propuesto de validación defensiva. Maetra no ha reproducido de forma independiente los experimentos de CERT-EU, y este artículo no afirma la existencia de un defecto no divulgado en un paquete concreto.
Haga visibles los cambios en las extensiones para el responsable del despliegue
Un inventario de despliegue debe registrar algo más que el modelo y sus herramientas anunciadas. Maetra recomienda registrar cada extensión ejecutable, su origen, la versión instalada, los hooks de eventos habilitados y la persona responsable que aceptó el cambio. Incluya cómo se actualiza y qué entorno la carga.
Revise el artefacto realmente instalado cuando investigue una discrepancia. Una descripción en el registro puede explicar la funcionalidad prevista, pero el registro de despliegue debe identificar qué cargó el proceso. Conserve la revisión pertinente junto con el resultado de la revisión para que una actualización posterior no herede en silencio una conclusión anterior.
Para integración continua, identifique si el agente se ejecuta con tokens de repositorio, acceso al almacenamiento de artefactos o credenciales de despliegue. Pregunte cuáles son necesarios para la tarea asignada. Una prueba exitosa en el entorno restringido de un desarrollador no establece el mismo límite en un ejecutor de compilación con privilegios más amplios.
Conserve la evidencia fuera de la conversación
Quien responda a un incidente necesita correlacionar la instalación de extensiones y la actividad del proceso con la cronología de la tarea. Los registros útiles pueden incluir la revisión instalada, la identidad de ejecución, las denegaciones de acceso a archivos y las decisiones de red. Recoja la información mínima necesaria para responder a la pregunta de la investigación y aplique las reglas de retención y acceso de la organización.
Evite tratar la ausencia de una llamada a herramienta del modelo como prueba de que no hubo ninguna operación en el host. El registro debe explicar qué telemetría se recopiló y qué rutas siguen sin observarse. Esa distinción ayuda a un investigador a separar una denegación verificada de una laguna de monitorización.
La cobertura secundaria del informe de CERT-EU deriva de la fuente original. Puede demostrar que la investigación recibió atención, pero no valida de forma independiente la telemetría del laboratorio. El informe primario sigue siendo la base de las afirmaciones experimentales aquí.
Dé a la inspección en tiempo de ejecución un papel definido
Maetra Secure inspecciona los prompts, mensajes, llamadas a herramientas y salidas cubiertos para detectar amenazas en tiempo de ejecución. Discover ayuda con el inventario y la detección de cambios. Estas capacidades pueden contribuir a una revisión del despliegue, pero inspeccionar las entradas del modelo o sus llamadas a herramientas no sustituye los controles a nivel de host sobre código ejecutable arbitrario.
La tarea operativa inmediata es asignar un responsable al límite de ejecución de las extensiones y probar una restricción de acceso a archivos o de red saliente en un entorno seguro. La documentación de Maetra explica los límites del producto que los equipos deben considerar al decidir cómo encaja la inspección en tiempo de ejecución dentro de ese plan de control más amplio.
Fuentes
- CERT-EU: Beyond the model: backdoors in AI agent harnesses, 30 de octubre de 2026. Investigación controlada sobre paquetes modificados localmente, no un informe sobre versiones públicas modificadas.