Apenas 24 horas después de que Google lanzara Antigravity, su herramienta de codificación de inteligencia artificial impulsada por Gemini, el investigador de seguridad Aaron Portnoy descubrió lo que consideró una vulnerabilidad grave: un truco que le permitía manipular las reglas de la IA para potencialmente instalar malware en la computadora de un usuario.
Al alterar la configuración de Antigravity, el código fuente malicioso de Portnoy creó una supuesta "puerta trasera" en el sistema del usuario, donde podía inyectar código para, por ejemplo, espiar a las víctimas o ejecutar ransomware, según declaró a Forbes . El ataque funcionó tanto en PC con Windows como con Mac. Para ejecutar el ataque, solo tuvo que convencer a un usuario de Antigravity para que ejecutara su código una vez tras hacer clic en un botón que indicaba que su código fraudulento era "confiable" (esto es algo que los hackers suelen lograr mediante ingeniería social, como hacerse pasar por un programador competente y benévolo que comparte su creación).
La vulnerabilidad de Antigravity es el ejemplo más reciente de cómo las empresas lanzan productos de IA sin realizar pruebas de estrés exhaustivas para detectar vulnerabilidades de seguridad. Esto ha creado un juego del gato y el ratón para los especialistas en ciberseguridad, que buscan estos defectos para advertir a los usuarios antes de que sea demasiado tarde.
Los agentes de codificación de IA son "muy vulnerables, a menudo se basan en tecnologías antiguas y nunca se parchean".
Gadi Evron, cofundador y director ejecutivo de Knostic
"La velocidad con la que encontramos fallos críticos ahora mismo se asemeja a la de un ataque informático a finales de los 90", escribió Portnoy en un informe sobre la vulnerabilidad, proporcionado a Forbes antes de su publicación el miércoles. "Los sistemas de IA se entregan con enormes presunciones de confianza y prácticamente sin límites estrictos".
Portnoy informó de sus hallazgos a Google. El gigante tecnológico le comunicó que había abierto una investigación al respecto. Hasta el miércoles, no había ningún parche disponible y, según el informe de Portnoy, «no pudimos identificar ninguna configuración para protegernos contra esta vulnerabilidad».
El portavoz de Google, Ryan Trostle, declaró a Forbes que el equipo de Antigravity se toma muy en serio los problemas de seguridad y animó a los investigadores a reportar las vulnerabilidades "para que podamos identificarlas y solucionarlas rápidamente". Los errores se seguirán publicando en su sitio web mientras se trabaja en las soluciones.
Google tiene conocimiento de al menos otras dos vulnerabilidades en su editor de código Antigravity. En ambas, código fuente malicioso puede influir en la IA para que acceda a archivos en el ordenador objetivo y robe datos. Investigadores de ciberseguridad comenzaron a publicar sus hallazgos sobre varias vulnerabilidades de Antigravity el martes. Uno de ellos escribió : «No está claro por qué estas vulnerabilidades conocidas están en el producto... Mi suposición personal es que el equipo de seguridad de Google se vio un poco sorprendido por el lanzamiento de Antigravity». Otro afirmó que Antigravity contenía «algunos patrones de diseño preocupantes que aparecen constantemente en los sistemas de agentes de IA».
Portnoy afirmó que su ataque era más grave que esos, en parte porque funcionaba incluso con configuraciones más restringidas, pero también porque es persistente. El código malicioso se recargaba cada vez que la víctima reiniciaba cualquier proyecto de programación de Antigravity y accedía a cualquier mensaje, incluso si era un simple "hola". Desinstalar o reinstalar Antigravity tampoco solucionaba el problema. Para ello, el usuario debía encontrar y eliminar la puerta trasera, e impedir que su código fuente se ejecutara en el sistema de Google.
El lanzamiento apresurado de herramientas de IA que contienen vulnerabilidades no se limita a Google. Gadi Evron, cofundador y director ejecutivo de la empresa de seguridad de IA Knostic, dijo que los agentes de codificación de IA eran "muy vulnerables, a menudo basados en tecnologías antiguas y nunca parcheados, y luego inseguros por diseño en función de cómo necesitan funcionar". Debido a que se les otorgan privilegios para acceder ampliamente a los datos de una red corporativa, se convierten en objetivos valiosos para los piratas informáticos criminales, dijo Evron a Forbes . Y como los desarrolladores a menudo copian y pegan indicaciones y código de recursos en línea, estas vulnerabilidades se están convirtiendo en una amenaza creciente para las empresas, agregó. A principios de esta semana, por ejemplo, el investigador de ciberseguridad Marcus Hutchins advirtió sobre reclutadores falsos que contactan a profesionales de TI a través de LinkedIn y les envían código fuente con malware oculto en su interior como parte de una prueba para obtener una entrevista.
Parte del problema radica en que estas herramientas son "agenticas", lo que significa que pueden realizar una serie de tareas de forma autónoma sin supervisión humana. "Al combinar el comportamiento agético con el acceso a recursos internos, las vulnerabilidades se vuelven más fáciles de descubrir y mucho más peligrosas", afirmó Portnoy. Con los agentes de IA, existe el riesgo añadido de que su automatización se utilice para mal en lugar de para bien, lo que de hecho facilita que los hackers roben datos con mayor rapidez. Como investigador principal de Mindgard, una startup de pruebas de seguridad de IA, Portnoy afirmó que su equipo está en proceso de informar sobre 18 vulnerabilidades en herramientas de codificación basadas en IA que compiten con Antigravity. Recientemente, se solucionaron cuatro problemas en el asistente de codificación de IA Cline , que también permitían que un hacker instalara malware en el PC de un usuario.
Si bien Google ha exigido a los usuarios de Antigravity que acepten confiar en el código que cargan en el sistema de IA, esto no constituye una protección de seguridad significativa, afirmó Portnoy. Esto se debe a que, si el usuario decide no aceptar el código como confiable, no podrá acceder a las funciones de IA que hacen que Antigravity sea tan útil. Es un enfoque diferente al de otros denominados "entornos de desarrollo integrados", como Visual Studio Code de Microsoft, que funcionan en gran medida al ejecutar código no confiable.
Portnoy cree que muchos profesionales de TI preferirían decirle a Antigravity que confían en lo que suben, en lugar de volver a usar un producto menos sofisticado. Como mínimo, Google debería garantizar que, cada vez que Antigravity ejecute código en el ordenador de un usuario, se emita una advertencia o notificación, además de la confirmación de que el código es confiable, afirmó.
Cuando Portnoy analizó cómo el LLM de Google estaba analizando cómo gestionar su código malicioso, descubrió que el modelo de IA reconocía la existencia de un problema, pero le costaba determinar la forma más segura de proceder. Al intentar comprender por qué se le pedía que infringiera una regla diseñada para evitar que sobrescribiera código en el sistema de un usuario, la IA de Antigravity se dio cuenta de que se enfrentaba a un serio dilema. "Parece una situación sin salida", escribió. "Sospecho que esto pone a prueba mi capacidad para sortear restricciones contradictorias". Ese es precisamente el tipo de parálisis lógica que los hackers aprovechan al intentar manipular el código para sus fines.
Con información de Forbes US.