El riesgo puede instalarse antes de que el agente comience a trabajar
Un estudio publicado el 7 de septiembre de 2026 examinó 3,171 repositorios públicos utilizados para configurar Claude Code, Cursor, GitHub Copilot, Gemini CLI, OpenAI Codex y otros agentes.
Hechos comprobados
Entre las 2,660 configuraciones que combinaban instrucciones, skills, hooks, subagentes o servidores MCP:
16.0% contenía al menos un defecto de seguridad confirmado;
9.8% instalaba servidores MCP sin fijar versión, etiqueta o huella, por lo que podía ejecutar posteriormente código distinto;
3.1% concedía ejecución arbitraria mediante permisos que aparentaban estar limitados, como autorizaciones de Bash(python:*);
3.8% incluía una skill que preautorizaba el acceso al shell para cualquier proyecto donde fuera instalada;
17.5% configuraba más de un asistente, ampliando la superficie de configuraciones y permisos que deben mantenerse consistentes.
Los investigadores analizaron reglas deterministas, volvieron a obtener cada repositorio en el commit registrado, reprodujeron los hallazgos con una implementación independiente y publicaron el corpus, los criterios, los desacuerdos y cada veredicto.
Fuentes primarias: paper y metodología completa y datos, scripts y resultados reproducibles.
Solidez y límites
La transparencia metodológica es alta y el instrumento puede ejecutarse sin modelos para bloquear configuraciones defectuosas dentro de un proceso de integración.
Sin embargo, es un preprint sin revisión por pares. La selección de repositorios públicos no representa necesariamente los sistemas empresariales privados. Parte de la validación utilizó modelos y no recibió una revisión humana completa. El estudio no confirmó rutas efectivas de extracción de credenciales: identificó condiciones técnicas que crean exposición.
Inferencia para EnterpriseThinking
El resultado añade una capa distinta al estudio anterior sobre agentes que ignoraban firmas y procedencia:
El agente no sólo puede omitir una verificación de seguridad. También puede recibir permisos inseguros mediante la propia configuración que define cómo debe comportarse.
Una skill no es simplemente documentación. Puede incorporar instrucciones, scripts, permisos y conexiones con capacidad para actuar bajo las credenciales del usuario.
Esto afecta el diseño de los primeros agentes propios de EnterpriseThinking, Embedded AI, los stress tests y cualquier implementación con MCP para Grupo Cler, Notaría 97, BanCoppel o Grupo México.
Acción concreta
Añadir un control de cadena de suministro del agente antes de cada despliegue:
inventariar instrucciones, skills, hooks, subagentes y servidores MCP;
fijar versiones y huellas de todos los componentes ejecutables;
prohibir skills que preautoricen shell o herramientas de escritura;
revisar cada componente externo como si fuera código de terceros;
someter los cambios de configuración a aprobación y control de versiones;
ejecutar automáticamente análisis estático antes de instalar o actualizar;
registrar qué componente concedió cada permiso y qué acciones permitió.
La tesis resultante es:
La seguridad de un agente no comienza en el modelo. Comienza en los archivos, permisos y componentes que le dicen cómo actuar.
Comentarios