International AI Safety ReportUso malicioso§2.1.3, Box 2.1
Los propios sistemas de IA se convierten en objetivos
Vista en incidentes reales85 expedientes coincidentes
La advertencia
Los atacantes pueden manipular sistemas de IA mediante inyección de prompts, datos envenenados y componentes comprometidos, para cambiar su comportamiento o extraer información sensible.
Paráfrasis de la fuente. Fuente: International AI Safety Report 2026, 3 feb 2026, sección 2.1.3, Box 2.1, página 62. Resumen publicado por International AI Safety Report: internationalaisafetyreport.org.
Lo que muestra el registro
Instrucciones ocultas que hacen que los asistentes filtren correos y archivos, agentes de programación secuestrados, paquetes y complementos maliciosos dirigidos a desarrolladores de IA y fallos en herramientas de IA explotados activamente. Muchos casos de inyección de prompts son demostraciones de investigadores; la mayoría de los ataques a la cadena de suministro ocurrieron en el mundo real.
Los expedientes verificados muestran este riesgo ocurriendo en el mundo real. Primer caso real registrado: 30 dic 2022 · Ya estaba en el registro cuando se publicó esta investigación.
Expedientes coincidentes por trimestre
Vista en incidentes realesPrueba de laboratorio o demostración de investigadores
Historial del estado
| Fecha | Estado | Expedientes coincidentes | Cambio |
|---|---|---|---|
| 18 oct 2026 | Vista en incidentes reales | 84 | Inicio del seguimiento |
Seguimiento desde el 18 oct 2026. Se añade una línea cuando cambia el estado, cuando se vincula el primer caso real y una vez al mes, de modo que el registro muestra cuándo una advertencia pasó de la investigación a la realidad. research_history.json
Todos los expedientes coincidentes
- Una adición no divulgada a jqwik instruye a los agentes de programación con IA a eliminar la salida de la aplicación
- Una prompt injection oculta en un escrito judicial instruye a los revisores de IA a favorecer al demandante
- Páginas falsas de descarga de Codex en Google Sites distribuyen malware para macOS mediante ClickFix
- Inyección SQL en el proxy LiteLLM (CVE-2026-42208) explotada activamente
- El backdoor macOS.Gaslight inyecta prompts falsos contra herramientas de triaje de malware basadas en LLM
- Fallo SSRF de MLflow (CVE-2026-64849) explotado activamente, exponiendo servicios internos
- Una skill maliciosa de OpenClaw distribuye el RAT Remcos y GhostLoader
- RCE por inyección de código en Ray (CVE-2025-62593) explotado activamente
- El Red Agent de Wiz alcanza el Jira interno de Snowflake a través de un fallo en GitHub Actions en un PR asistido por Copilot · Prueba de laboratorio o demostración de investigadores
- GTG-50020: extorsionador inyecta prompts en sandbox de evaluación de IA y luego ataca a 30 firmas
- Un prompt plantado hace que ChatGPT copie datos de Gmail de las víctimas a la cuenta del atacante · Prueba de laboratorio o demostración de investigadores
- DUSTMAKER de TeamPCP se oculta en carpetas .claude y .cursor e inyecta prompts en escáneres LLM
- El gateway MCP de LiteLLM acepta cualquier token Bearer (CVE-2026-59822); CISA confirma explotación
- CISA lista como explotado el SSRF en webhooks de MLflow (CVE-2026-64849) hacia metadatos de nube
- RCE en Ray vía navegador (CVE-2025-62593) usado por la botnet RondoDox entra en el KEV de CISA
- Langflow suma cuatro entradas más al KEV en 2026: secuestro de tokens, IDOR, RCE root y auto_login
- DuneSlide: dos fallas 9.8 en Cursor permiten que la inyección de prompts escape del sandbox para RCE · Prueba de laboratorio o demostración de investigadores
- Sapphire Sleet secuestra cuenta de mantenedor para troyanizar más de 140 paquetes npm de Mastra AI
- SearchLeak: cadena de un clic en M365 Copilot Enterprise Search exfiltra datos vía Bing · Prueba de laboratorio o demostración de investigadores
- Servidores MCP de npm con typosquatting imitan paquetes oficiales y envían datos al instalarse
- CISA añade al KEV la RCE explotada activamente en la pasarela de IA LiteLLM (CVE-2026-42271)
- Hackers engañan al chatbot de soporte con IA de Meta para que entregue cuentas de Instagram
- El paquete npm troyanizado codexui-android roba tokens de OpenAI Codex
- OpenAI confirma dos dispositivos de empleados y repositorios vulnerados por el gusano Shai-Hulud
- El gusano Mini Shai-Hulud golpea paquetes de TanStack, Mistral AI y Guardrails AI
- Repo falso OpenAI Privacy Filter lidera tendencias de Hugging Face mientras distribuye infostealer
- PyTorch Lightning 2.6.3 con puerta trasera en PyPI ejecuta un ladrón de credenciales al importarse
- Escape del sandbox de Claude Code por enlaces simbólicos permite ejecutar código (CVE-2026-39861) · Prueba de laboratorio o demostración de investigadores
- El permiso OAuth de la herramienta de IA Context.ai comprometida conduce a una brecha en Vercel
- RCE en marimo (CVE-2026-39987) explotado en horas; RAT NKAbuse alojado en Hugging Face Spaces
- Inyección de prompts filtra datos de agentes de Microsoft Copilot Studio y Salesforce Agentforce · Prueba de laboratorio o demostración de investigadores
- RCE de severidad máxima en CustomMCP de Flowise (CVE-2025-59528) explotado en el mundo real
- GrafanaGhost: inyección indirecta de prompts hace que la IA de Grafana filtre datos empresariales · Prueba de laboratorio o demostración de investigadores
- Versiones envenenadas de LiteLLM vinculadas a la brecha de Mercor que expone secretos de IA
- prt-scan: campaña impulsada por IA explota pull_request_target en flujos de trabajo de GitHub
- Inyección de comandos por nombre de rama en OpenAI Codex expuso tokens de GitHub en tareas en nube · Prueba de laboratorio o demostración de investigadores
- 'Double Agent' en Vertex AI: agentes con privilegios excesivos filtran credenciales y código · Prueba de laboratorio o demostración de investigadores
- Check Point halla túnel DNS fuera del sandbox de código de ChatGPT que filtra chats y archivos · Prueba de laboratorio o demostración de investigadores
- RCE sin autenticación en Langflow (CVE-2026-33017) explotado en las 20 horas siguientes al aviso
- CISA confirma explotación activa del RCE por inyección de expresiones de gravedad máxima en n8n
- La IA de Bing promociona repos falsos de instalador de OpenClaw que distribuyen Atomic y Vidar
- Una versión comprometida de Cline CLI en npm instala en silencio el agente OpenClaw
- Más de 230 skills maliciosas de OpenClaw en ClawHub distribuyen ladrones de contraseñas
- Datasets de Hugging Face abusados para servir cargas polimórficas de RAT Android cada 15 minutos
- MaliciousCorgi: extensiones de IA para VS Code con 1.5M de instalaciones exfiltran archivos abiertos
- BodySnatcher: suplantación sin autenticación vía Virtual Agent de ServiceNow (CVE-2025-12420) · Prueba de laboratorio o demostración de investigadores
- Fallos de inyección de prompts en el servidor Git MCP de Anthropic permiten acceso a archivos y RCE · Prueba de laboratorio o demostración de investigadores
- Reprompt: un ataque de un solo clic secuestra sesiones de Microsoft Copilot para robar datos · Prueba de laboratorio o demostración de investigadores
- GeminiJack: inyección sin clics en Gemini Enterprise exfiltró Gmail, Calendar y Docs · Prueba de laboratorio o demostración de investigadores
- HashJack: prompts ocultos en fragmentos de URL secuestran Comet, Copilot en Edge y Gemini en Chrome · Prueba de laboratorio o demostración de investigadores
- HackedGPT: Tenable halla siete fallas en ChatGPT, incluida inyección persistente en la memoria · Prueba de laboratorio o demostración de investigadores
- Path traversal en el alojamiento MCP de Smithery expuso acceso root a 3,000 servidores MCP alojados · Prueba de laboratorio o demostración de investigadores
- CamoLeak: comentarios ocultos en PR hacen que GitHub Copilot Chat filtre secretos de repos privados · Prueba de laboratorio o demostración de investigadores
- Gemini Trifecta: fallas en registros, historial de búsqueda y navegación permiten exfiltrar datos · Prueba de laboratorio o demostración de investigadores
- ForcedLeak: inyección en Web-to-Lead y un dominio vencido de $5 filtran datos CRM de Agentforce · Prueba de laboratorio o demostración de investigadores
- Primer servidor MCP malicioso: el paquete npm postmark-mcp envía copia oculta de todos los correos
- Agentes de Notion 3.0 engañados con PDF de texto blanco para filtrar datos de clientes vía búsqueda · Prueba de laboratorio o demostración de investigadores
- ShadowLeak: inyección de prompts sin clics hace que ChatGPT Deep Research filtre datos de Gmail · Prueba de laboratorio o demostración de investigadores
- WhiteCobra inunda Open VSX y VS Code Marketplace con 24 extensiones que roban criptomonedas
- s1ngularity: paquetes Nx troyanizados usan las CLI de Claude y Gemini para robar secretos
- Tokens OAuth del chatbot de IA Drift robados para saquear más de 700 tenants de Salesforce
- Brave demuestra que un comentario de Reddit puede secuestrar Perplexity Comet y robar OTP de Gmail · Prueba de laboratorio o demostración de investigadores
- Chatbot de soporte Lena de Lenovo inducido a emitir carga XSS que roba cookies de sesión de agentes · Prueba de laboratorio o demostración de investigadores
- Inyección de prompts en Copilot pone VS Code en modo de aprobación automática (CVE-2025-53773) · Prueba de laboratorio o demostración de investigadores
- AgentFlayer: un solo documento envenenado de Google Drive hace que ChatGPT filtre claves de API · Prueba de laboratorio o demostración de investigadores
- Invitation Is All You Need: invitaciones de calendario envenenadas hacen que Gemini controle la casa · Prueba de laboratorio o demostración de investigadores
- Inyección de comandos en Claude Code elude el aviso de confirmación (CVE-2025-54795 y -54794) · Prueba de laboratorio o demostración de investigadores
- CurXecute y MCPoison: fallas en la configuración MCP de Cursor permiten ejecución de código · Prueba de laboratorio o demostración de investigadores
- Gemini CLI secuestrado mediante un README envenenado para exfiltrar credenciales en silencio · Prueba de laboratorio o demostración de investigadores
- Un hacker introduce un prompt de borrado de datos en la extensión Amazon Q Developer para VS Code
- Falsa extensión 'Solidity Language' en Open VSX roba $500K a un desarrollador de Cursor
- Texto oculto en correos hace que los resúmenes de Gemini para Workspace den falsas alertas · Prueba de laboratorio o demostración de investigadores
- Inyección en ticket de soporte hace que Cursor con Supabase MCP vuelque tokens de integración · Prueba de laboratorio o demostración de investigadores
- Nikkei descubre indicaciones ocultas que ordenan a los revisores de IA elogiar los artículos en 17 preprints de 14 universidades · Prueba de laboratorio o demostración de investigadores
- Muestra de malware Skynet incrusta inyección de prompts para engañar a analizadores con IA
- La puerta trasera Pickai se propaga por fallas de ComfyUI a casi 700 servidores de imágenes de IA
- RCE en el constructor de agentes Langflow (CVE-2025-3248) explotado para propagar la botnet Flodrix
- EchoLeak: inyección de prompts sin clics en Microsoft 365 Copilot (CVE-2025-32711) · Prueba de laboratorio o demostración de investigadores
- Paquetes PyPI que imitan el SDK de Alibaba AI Labs ocultan un infostealer en un modelo PyTorch
- Inyección de prompts en GitLab Duo filtra código privado mediante texto oculto en merge requests · Prueba de laboratorio o demostración de investigadores
- Paquetes npm 'sw-cur' y 'aiide-cur' instalan puerta trasera en Cursor en macOS, 3,200 descargas
- nullifAI: modelos con pickle roto en Hugging Face evaden Picklescan y llevan shells inversos
- Paquetes falsos 'deepseeek' y 'deepseekai' en PyPI roban secretos a desarrolladores de DeepSeek
- La biblioteca de IA Ultralytics es hackeada a través de GitHub Actions para distribuir un criptominero en PyPI
- Paquete malicioso 'torchtriton' de confusión de dependencias afecta a PyTorch a través de PyPI
Los mismos expedientes en otras investigaciones
- Vista en incidentes reales Privacidad y seguridad · MIT AI Risk Repository · 85 en común
- Vista en incidentes reales La IA potente se filtra o se roba · CAIS · 2 en común
Advertencias de otras fuentes vinculadas a algunos de los mismos expedientes.
Otras advertencias de este grupo
- Vista en incidentes reales Las falsificaciones hechas con IA alimentan el fraude y la extorsión
- Señales tempranas El contenido de IA se usa para influir en lo que la gente cree
- Vista en incidentes reales Delincuentes y hackers estatales usan la IA en ciberataques
- Vista en incidentes reales La IA ejecuta más partes de cada ataque, sin llegar a la autonomía total
- Nada registrado todavía La IA da ayuda de nivel experto para armas biológicas y químicas
Investigación frente a realidad · International AI Safety Report →