Inyección de instrucciones en IA: el riesgo de botnets masivos sin precedentes
Nueve herramientas de codificación enfrentan vulnerabilidad crítica que permite ataques DDoS a escala industrial
Los grandes modelos de lenguaje presentan una limitación estructural fundamental: no pueden distinguir entre instrucciones legítimas y comandos maliciosos que se infiltran a través de correos electrónicos, código fuente y otros contenidos procesados. Esta incapacidad de discriminar entre fuentes confiables y no confiables ha obligado a los desarrolladores a implementar…
Los grandes modelos de lenguaje presentan una limitación estructural fundamental: no pueden distinguir entre instrucciones legítimas y comandos maliciosos que se infiltran a través de correos electrónicos, código fuente y otros contenidos procesados. Esta incapacidad de discriminar entre fuentes confiables y no confiables ha obligado a los desarrolladores a implementar sistemas de protección reactivos que mitigan daños en lugar de resolver el problema de raíz.
Hasta ahora, los ataques de inyección de instrucciones se han clasificado en dos categorías con alcance limitado. Los ataques "push" requieren dirigirse a víctimas específicas mediante correos o invitaciones de calendario, lo que dificulta la escalabilidad. Los ataques "pull", donde un modelo busca activamente instrucciones adversariales en sitios web, tampoco logran escalar sin un mecanismo que atraiga masivamente a múltiples instancias de IA hacia un destino malicioso. Ambos enfoques presentan barreras para operaciones de gran escala.
Un nuevo vector de ataque denominado HalluSquatting ha cambiado esta ecuación. El término combina "squatting" (ocupación de identificadores) con "alucinación adversarial", explotando la tendencia documentada de los LLMs a generar identificadores de recursos inexistentes en repositorios y registros. Los atacantes anticipan qué identificadores los modelos son más propensos a alucinar, los registran y los siembran con instrucciones para instalar malware como shells reversos. Este mecanismo permite infectar dispositivos de manera indiscriminada sin necesidad de apuntar a objetivos individuales.
Nueve herramientas de asistencia y codificación con IA resultan vulnerables a este ataque: Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw y NanoClaw. Todas ellas acceden a líneas de comandos con privilegios elevados durante su operación diaria para ejecutar código de recursos externos, lo que amplifica el potencial de daño. La capacidad de crear botnets masivos y orquestar ataques DDoS a escala industrial representa un cambio cualitativo en el panorama de amenazas de inyección de instrucciones.
Para los equipos de seguridad y CTO, esta vulnerabilidad plantea implicaciones inmediatas: la adopción de herramientas de codificación asistida por IA requiere ahora evaluaciones de riesgo específicas, segregación de permisos en línea de comandos, y monitoreo de ejecuciones de código desde fuentes externas. Las organizaciones que dependen de estos asistentes deben implementar controles de acceso granulares y auditoría continua de las operaciones que estos agentes realizan en sistemas de producción. La sofisticación creciente de estos ataques subraya la necesidad de que las empresas en México y América Latina fortalezcan sus estrategias de seguridad en IA más allá de las medidas convencionales.
