Los investigadores de seguridad de Wiz han documentado un caso inusual de inteligencia artificial que creó la misma vulnerabilidad que otro sistema de IA encontró y aprovechó: una solución automatizada de GitHub Copilot introdujo una falla grave de inyección de script en un repositorio de código abierto de Snowflake, y el Red Agent autónomo de Wiz descubrió el error, lo convirtió en un arma y extrajo credenciales de los sistemas internos de Snowflake, todo a los pocos días de aterrizar el código defectuoso.

Los hallazgos, publicados el lunes en el blog de Wiz Research, llegaron rápidamente a la portada de Hacker News, donde los desarrolladores debatieron lo que significa para la creciente práctica de permitir que los asistentes de codificación de IA realicen cambios directamente en los repositorios de producción. El episodio se interpreta como una advertencia sobre la carrera de la industria hacia el código creado por IA. Para obtener más historias sobre las herramientas que están remodelando el desarrollo de software, siga nuestra cobertura de noticias sobre IA.

Cómo una corrección automática de IA creó una vulnerabilidad

Según Wiz, el problema comenzó el 18 de junio de 2026, cuando una solicitud de extracción en el repositorio público `snowflake-connector-net` actualizó un flujo de trabajo de GitHub Actions llamado `jira_issue.yml`. La confirmación, en coautoría de la función Autofix de GitHub Copilot, reemplazó un patrón de codificación seguro, uno que pasaba títulos de problemas no confiables a través de una variable de entorno y creaba cargas útiles JSON con `jq`, con una interpolación directa de plantilla de entrada controlada por el usuario en un script de shell.

El flujo de trabajo se ejecutaba cada vez que un usuario de GitHub abría un problema en el repositorio. Debido a que el título del problema se interpoló directamente en un bloque `ejecutar:`, una comilla simple en un título elaborado fue suficiente para salir del comando de shell y ejecutar código arbitrario en los ejecutores de acciones de GitHub.

Una verificación condicional en el flujo de trabajo que parecía ser una puerta de seguridad resultó ineficaz: en eventos de problemas, el contexto `github.event.pull_request` siempre es nulo, por lo que la condición se evaluó como verdadera para cada usuario. En la práctica, cualquiera en GitHub podría activar el flujo de trabajo.

Wiz dice que el patrón de seguridad que el asistente de IA eliminó se implementó deliberadamente para evitar exactamente este tipo de inyección de proyectiles, un contexto histórico que el asistente automatizado no tenía forma de conocer.

El agente rojo lo encontró y se negó a fallar

Lo que hace que el caso sea notable es cómo se descubrió la falla. Red Agent de Wiz, un agente de seguridad ofensivo autónomo, estaba escaneando la organización GitHub de Snowflake con una capacidad de análisis CI/CD cuando marcó el flujo de trabajo como vulnerable a la inyección de scripts.

Cuando el agente intentó explotar la falla, su primera carga útil, que usaba un carácter de comentario para truncar el comando de shell, falló con un error de sintaxis de bash. En lugar de detenerse, escribieron los investigadores, Red Agent analizó de forma autónoma el error, ajustó su carga útil para cerrar correctamente la sintaxis del shell y exfiltró con éxito las credenciales de Jira a un servidor de devolución de llamadas fuera de banda. La devolución de llamada llegó de un corredor de GitHub Actions, que llevaba las credenciales en formato codificado en base64.

El token exfiltrado pertenecía a una cuenta con acceso de lectura en los proyectos de ingeniería, cumplimiento de seguridad y seguimiento de recompensas por errores de Snowflake en Jira.

Cinco días desde la inyección hasta el parche

El cronograma de divulgación publicado por Wiz avanza rápidamente:

  • 18 de junio de 2026: el patrón vulnerable se introduce mediante una confirmación en coautoría de Copilot Autofix
  • 23 de junio de 2026: Wiz identifica, explota e informa la falla a Snowflake a través de HackerOne.
  • 23 de junio de 2026: Snowflake parchea el flujo de trabajo el mismo día, restaurando la variable segura `env:` y el patrón de análisis `jq`
  • 24 de junio de 2026: el token de Jira expuesto se revoca y se rota
  • 25 de julio de 2026 — divulgación pública coordinada

Snowflake le dijo a Wiz que su investigación no encontró evidencia de acceso no autorizado. "La divulgación se recibió el 23 de junio de 2026 y fue investigada y remediada de inmediato, y nuestra investigación no encontró evidencia de acceso no autorizado", dijo la compañía en un comunicado, y agregó que está trabajando con Wiz para compartir lo aprendido con la industria en general.

La lección más importante: el código de IA necesita un escrutinio de nivel humano

Wiz extrajo tres conclusiones del incidente y se extienden mucho más allá de Snowflake.

En primer lugar, las solicitudes de extracción generadas por IA deben someterse al mismo análisis estático y revisión de seguridad que el código humano. Los asistentes de codificación predicen el código a partir de patrones probabilísticos, lo que significa que pueden reintroducir silenciosamente construcciones obsoletas o inseguras que un repositorio ya había eliminado.

En segundo lugar, las ventanas de descubrimiento se están derrumbando. La vulnerabilidad estuvo activa solo cinco días antes de que un agente automatizado la encontrara y la validara, un ritmo que supone que los atacantes que escanean con herramientas similares podrían moverse con la misma rapidez. Los ciclos rápidos de parches y las credenciales de corta duración se están convirtiendo en requisitos básicos.

En tercer lugar, las organizaciones necesitan barreras de seguridad que impidan que los asistentes de IA reemplacen los analizadores de datos estructurados con interpolación directa de cadenas, precisamente la regresión que ocurrió aquí.

El incidente ocurre en un momento de introspección más amplia de la industria sobre el código generado por IA. Una serie de estudios recientes y casos del mundo real han demostrado que las herramientas de codificación de IA pueden introducir con confianza errores, agujeros de seguridad y dolores de cabeza de mantenimiento junto con sus ganancias de productividad. Lo que hace que el caso de Snowflake sea distintivo es el circuito cerrado: la IA que causó el problema y la IA que lo detectó actuaban de forma autónoma, y ​​los humanos revisaban las consecuencias.

Para los equipos de seguridad, el mensaje de Wiz es contundente. La pregunta ya no es si el código escrito por IA contendrá vulnerabilidades, sino si su canal de detección, humano o automatizado, puede encontrarlas más rápido que el agente de otra persona.

Manténgase a la vanguardia de la curva de la IA

Las herramientas de codificación de IA y los agentes autónomos están cambiando la seguridad del software en tiempo real. Marque AI Buzz Wire para obtener informes diarios sobre la industria de la IA.

Leer más noticias sobre IA →