Investigadores descubren vulnerabilidades críticas en el ecosistema de habilidades de IA: cómo un desarrollador infiltró software en máquinas de usuarios reales

Un investigador de seguridad ha revelado una cadena de vulnerabilidades preocupantes en ClawdHub, la plataforma de distribución de habilidades personalizadas para Claude Code, exponiendo a miles de desarrolladores a potenciales ataques de suministro de software. El hallazgo, que continúa una investigación anterior sobre servidores Clawdbot comprometidos, demuestra cómo un atacante podría infiltrarse en las máquinas de desarrolladores de siete países diferentes en menos de ocho horas. En un experimento de seguridad documentado meticulosamente, el investigador creó una habilidad simulada llamada "What Would Elon Do?" e identificó una vulnerabilidad trivial en la API que permitía inflar artificialmente los números de descarga sin autenticación ni validación de direcciones IP. Mediante esta técnica, elevó la habilidad a la posición número uno en los rankings de popularidad, logrando que 16 desarrolladores reales de diversos países descargaran e instalaran el código en sus sistemas. Lo más preocupante es que la mayoría de los usuarios activaron permisos de ejecución sin cuestionarse la legitimidad del software, confiando en que su posición privilegiada en los rankings garantizaba seguridad. Aunque el payload utilizado en este experimento fue completamente inofensivo —consistiendo únicamente en un ping de prueba— un atacante real habría tenido acceso total para robar claves SSH, credenciales de AWS, repositorios de código completos y datos sensibles de los desarrolladores comprometidos. La investigación identifica tres vulnerabilidades arquitectónicas críticas. En primer lugar, los contadores de descargas carecen de mecanismos de autenticación o verificación, permitiendo manipulación trivial de estadísticas. En segundo lugar, la interfaz web oculta archivos referenciados donde pueden residir payloads maliciosos, dificultando la revisión de seguridad por parte de los usuarios. En tercero, los diálogos de permisos generan una falsa sensación de control y protección que lleva a decisiones de confianza precipitadas. Este descubrimiento trae ecos inquietantes de ataques históricos de cadena de suministro en el ecosistema de software abierto, tales como el incidente de ua-parser-js en 2021 y el compromiso de event-stream en 2018. Ambos demostraron cómo un componente ampliamente utilizado podría ser comprometido para afectar a cientos de miles de usuarios finales. Ahora, con el crecimiento exponencial de las herramientas basadas en IA y los ecosistemas de extensiones que las rodean, estos patrones de vulnerabilidad están reapareciendo en nuevas formas. Aunque el investigador ha presentado un pull request para solucionar los problemas inmediatos, enfatiza que los problemas radicales son arquitectónicos. La comunidad de seguridad y las empresas desarrolladoras de herramientas IA enfrentan una disyuntiva: implementar controles más rigurosos que ralenticen la innovación y la accesibilidad, o mantener sistemas abiertos que faciliten la infiltración maliciosa. La respuesta a esta pregunta definirá la seguridad del próximo ecosistema de herramientas de inteligencia artificial.