MIT AI Risk InitiativeSiete dominios de riesgoDominio 2
Privacidad y seguridad
Vista en incidentes reales141 expedientes coincidentes
El dominio de riesgo
IA que filtra o infiere datos personales sensibles, y debilidades de los sistemas de IA y de sus cadenas de herramientas que explotan los atacantes.
Paráfrasis de la fuente. Fuente: The AI Risk Repository: A Meta-Review, Database, and Taxonomy of Risks From Artificial Intelligence, MIT AI Risk Initiative, 14 ago 2024, dominio 2, tabla 2, página 8. Resumen publicado por MIT AI Risk Initiative: airisk.mit.edu.
Lo que muestra el registro
Uno de los dos pilares del registro: chats y claves filtrados, bases de datos expuestas, inyección de prompts, agentes secuestrados, paquetes envenenados y cuentas de IA robadas.
Los expedientes verificados muestran este riesgo ocurriendo en el mundo real.
Expedientes coincidentes por trimestre
Historial del estado
| Fecha | Estado | Expedientes coincidentes | Cambio |
|---|---|---|---|
| 18 oct 2026 | Vista en incidentes reales | 138 | Inicio del seguimiento |
Seguimiento desde el 18 oct 2026. Se añade una línea cuando cambia el estado, cuando se vincula el primer caso real y una vez al mes, de modo que el registro muestra cuándo una advertencia pasó de la investigación a la realidad. research_history.json
Todos los expedientes coincidentes
- El infostealer Aoki amplía su alcance para robar credenciales de Claude, ChatGPT y Cursor
- La campaña de secuestro de LLM JINX-2401 ataca entornos AWS mediante escalada de privilegios en IAM
- Una brecha en BodySwap, plataforma de deepfakes sexuales, expone unas 10.300 cuentas de usuario
- Una adición no divulgada a jqwik instruye a los agentes de programación con IA a eliminar la salida de la aplicación
- Una prompt injection oculta en un escrito judicial instruye a los revisores de IA a favorecer al demandante
- Páginas falsas de descarga de Codex en Google Sites distribuyen malware para macOS mediante ClickFix
- Inyección SQL en el proxy LiteLLM (CVE-2026-42208) explotada activamente
- El backdoor macOS.Gaslight inyecta prompts falsos contra herramientas de triaje de malware basadas en LLM
- Fallo SSRF de MLflow (CVE-2026-64849) explotado activamente, exponiendo servicios internos
- Una skill maliciosa de OpenClaw distribuye el RAT Remcos y GhostLoader
- RCE por inyección de código en Ray (CVE-2025-62593) explotado activamente
- El Red Agent de Wiz alcanza el Jira interno de Snowflake a través de un fallo en GitHub Actions en un PR asistido por Copilot · Prueba de laboratorio o demostración de investigadores
- La botnet PoeLLM infecta 3,400 servidores con LiteLLM y Ollama expuestos para criptominería
- PixelLeak: agentes de programación con IA suben 13.000 capturas internas a GitHub público
- GTG-16005: Anthropic dice que Alibaba destiló Claude con 151M de intercambios para entrenar Qwen
- GTG-16006: Zhipu acusada de destilación cibernética de Claude Opus a través de 273 cuentas
- GTG-16008: Xiaomi reprodujo sesiones de usuarios de MiMo a través de Claude mediante 1,500 cuentas
- GTG-50020: extorsionador inyecta prompts en sandbox de evaluación de IA y luego ataca a 30 firmas
- GTG-50021: falso revendedor de Claude desviaba el tráfico y robaba credenciales de Anthropic
- Un prompt plantado hace que ChatGPT copie datos de Gmail de las víctimas a la cuenta del atacante · Prueba de laboratorio o demostración de investigadores
- DUSTMAKER de TeamPCP se oculta en carpetas .claude y .cursor e inyecta prompts en escáneres LLM
- Okta: volcado gratuito de stealer en Telegram contiene miles de tokens de sesión de IA y 24 claves
- El gateway MCP de LiteLLM acepta cualquier token Bearer (CVE-2026-59822); CISA confirma explotación
- Un atacante obtiene una clave API de METR de la app de agentes expuesta de un investigador y gasta 600.000 $ en créditos donados
- Truffle Security: 9,300 claves de AWS activas expuestas, Hugging Face la mayor fuente individual · Prueba de laboratorio o demostración de investigadores
- CISA lista como explotado el SSRF en webhooks de MLflow (CVE-2026-64849) hacia metadatos de nube
- RCE en Ray vía navegador (CVE-2025-62593) usado por la botnet RondoDox entra en el KEV de CISA
- Langflow suma cuatro entradas más al KEV en 2026: secuestro de tokens, IDOR, RCE root y auto_login
- DuneSlide: dos fallas 9.8 en Cursor permiten que la inyección de prompts escape del sandbox para RCE · Prueba de laboratorio o demostración de investigadores
- Sapphire Sleet secuestra cuenta de mantenedor para troyanizar más de 140 paquetes npm de Mastra AI
- 15 plugins de IA de JetBrains Marketplace con 70,000 instalaciones roban claves de OpenAI y DeepSeek
- SearchLeak: cadena de un clic en M365 Copilot Enterprise Search exfiltra datos vía Bing · Prueba de laboratorio o demostración de investigadores
- Un servidor Ollama secuestrado usado como cerebro de una canalización de hacking autónoma
- Servidores MCP de npm con typosquatting imitan paquetes oficiales y envían datos al instalarse
- CISA añade al KEV la RCE explotada activamente en la pasarela de IA LiteLLM (CVE-2026-42271)
- Hackers engañan al chatbot de soporte con IA de Meta para que entregue cuentas de Instagram
- El paquete npm troyanizado codexui-android roba tokens de OpenAI Codex
- OpenAI confirma dos dispositivos de empleados y repositorios vulnerados por el gusano Shai-Hulud
- El gusano Mini Shai-Hulud golpea paquetes de TanStack, Mistral AI y Guardrails AI
- Clústeres chinos UNC5673 y UNC6201 compartieron cuentas de Gemini, Claude y OpenAI mediante proxies
- Repo falso OpenAI Privacy Filter lidera tendencias de Hugging Face mientras distribuye infostealer
- PyTorch Lightning 2.6.3 con puerta trasera en PyPI ejecuta un ladrón de credenciales al importarse
- Escape del sandbox de Claude Code por enlaces simbólicos permite ejecutar código (CVE-2026-39861) · Prueba de laboratorio o demostración de investigadores
- Un grupo no autorizado accede al modelo restringido Claude Mythos de Anthropic vía un proveedor
- Investigador: cuenta gratuita de Lovable podía leer código, claves y chats de proyectos antiguos · Prueba de laboratorio o demostración de investigadores
- El permiso OAuth de la herramienta de IA Context.ai comprometida conduce a una brecha en Vercel
- RCE en marimo (CVE-2026-39987) explotado en horas; RAT NKAbuse alojado en Hugging Face Spaces
- Inyección de prompts filtra datos de agentes de Microsoft Copilot Studio y Salesforce Agentforce · Prueba de laboratorio o demostración de investigadores
- RCE de severidad máxima en CustomMCP de Flowise (CVE-2025-59528) explotado en el mundo real
- GrafanaGhost: inyección indirecta de prompts hace que la IA de Grafana filtre datos empresariales · Prueba de laboratorio o demostración de investigadores
- Versiones envenenadas de LiteLLM vinculadas a la brecha de Mercor que expone secretos de IA
- prt-scan: campaña impulsada por IA explota pull_request_target en flujos de trabajo de GitHub
- Filtración del source map de Claude Code seguida de falsos repos de 'filtración' con malware
- Inyección de comandos por nombre de rama en OpenAI Codex expuso tokens de GitHub en tareas en nube · Prueba de laboratorio o demostración de investigadores
- 'Double Agent' en Vertex AI: agentes con privilegios excesivos filtran credenciales y código · Prueba de laboratorio o demostración de investigadores
- Check Point halla túnel DNS fuera del sandbox de código de ChatGPT que filtra chats y archivos · Prueba de laboratorio o demostración de investigadores
- RCE sin autenticación en Langflow (CVE-2026-33017) explotado en las 20 horas siguientes al aviso
- Un consejo erróneo de un agente de IA de Meta expone datos sensibles a empleados durante dos horas
- Cybernews: 45 de 98 servidores Open WebUI sin autenticación ya ejecutaban mineros y stealers
- CISA confirma explotación activa del RCE por inyección de expresiones de gravedad máxima en n8n
- Un agente de IA autónomo vulnera la plataforma de chatbot Lilli de McKinsey en dos horas · Prueba de laboratorio o demostración de investigadores
- La IA de Bing promociona repos falsos de instalador de OpenClaw que distribuyen Atomic y Vidar
- Anthropic acusa a DeepSeek, Moonshot y MiniMax de destilar Claude mediante 24.000 cuentas
- Una versión comprometida de Cline CLI en npm instala en silencio el agente OpenClaw
- Infostealer captura el token del gateway de OpenClaw, claves de dispositivo y memoria del agente
- Más de 230 skills maliciosas de OpenClaw en ClawHub distribuyen ladrones de contraseñas
- La red social de agentes de IA Moltbook expone 1,5 M de tokens de API de agentes · Prueba de laboratorio o demostración de investigadores
- La app Chat & Ask AI filtra unos 300 M de mensajes de 25 M de usuarios por un Firebase abierto · Prueba de laboratorio o demostración de investigadores
- Datasets de Hugging Face abusados para servir cargas polimórficas de RAT Android cada 15 minutos
- Operación Bizarre Bazaar: endpoints de LLM secuestrados y revendidos en un mercado comercial
- Decenas de miles de gateways de agentes OpenClaw expuestos en línea filtran claves de API y chats
- MaliciousCorgi: extensiones de IA para VS Code con 1.5M de instalaciones exfiltran archivos abiertos
- BodySnatcher: suplantación sin autenticación vía Virtual Agent de ServiceNow (CVE-2025-12420) · Prueba de laboratorio o demostración de investigadores
- Error en Microsoft 365 Copilot resume correos confidenciales pese a las políticas DLP
- Fallos de inyección de prompts en el servidor Git MCP de Anthropic permiten acceso a archivos y RCE · Prueba de laboratorio o demostración de investigadores
- Reprompt: un ataque de un solo clic secuestra sesiones de Microsoft Copilot para robar datos · Prueba de laboratorio o demostración de investigadores
- GeminiJack: inyección sin clics en Gemini Enterprise exfiltró Gmail, Calendar y Docs · Prueba de laboratorio o demostración de investigadores
- Datos de usuarios de la API de OpenAI expuestos en la brecha del proveedor de analítica Mixpanel
- HashJack: prompts ocultos en fragmentos de URL secuestran Comet, Copilot en Edge y Gemini en Chrome · Prueba de laboratorio o demostración de investigadores
- ShadowRay 2.0 convierte clústeres Ray de IA expuestos en una botnet de minería autopropagable
- HackedGPT: Tenable halla siete fallas en ChatGPT, incluida inyección persistente en la memoria · Prueba de laboratorio o demostración de investigadores
- Path traversal en el alojamiento MCP de Smithery expuso acceso root a 3,000 servidores MCP alojados · Prueba de laboratorio o demostración de investigadores
- CamoLeak: comentarios ocultos en PR hacen que GitHub Copilot Chat filtre secretos de repos privados · Prueba de laboratorio o demostración de investigadores
- Gemini Trifecta: fallas en registros, historial de búsqueda y navegación permiten exfiltrar datos · Prueba de laboratorio o demostración de investigadores
- ForcedLeak: inyección en Web-to-Lead y un dominio vencido de $5 filtran datos CRM de Agentforce · Prueba de laboratorio o demostración de investigadores
- Primer servidor MCP malicioso: el paquete npm postmark-mcp envía copia oculta de todos los correos
- Agentes de Notion 3.0 engañados con PDF de texto blanco para filtrar datos de clientes vía búsqueda · Prueba de laboratorio o demostración de investigadores
- ShadowLeak: inyección de prompts sin clics hace que ChatGPT Deep Research filtre datos de Gmail · Prueba de laboratorio o demostración de investigadores
- WhiteCobra inunda Open VSX y VS Code Marketplace con 24 extensiones que roban criptomonedas
- Vyro AI deja 116GB de prompts y tokens de ImagineArt y Chatly en un Elasticsearch abierto
- Cisco Talos halla más de 1,100 servidores LLM Ollama abiertos a internet sin autenticación · Prueba de laboratorio o demostración de investigadores
- s1ngularity: paquetes Nx troyanizados usan las CLI de Claude y Gemini para robar secretos
- Tokens OAuth del chatbot de IA Drift robados para saquear más de 700 tenants de Salesforce
- Brave demuestra que un comentario de Reddit puede secuestrar Perplexity Comet y robar OTP de Gmail · Prueba de laboratorio o demostración de investigadores
- Más de 370.000 conversaciones de Grok expuestas en Google mediante enlaces compartidos
- Microsoft 365 Copilot resumía archivos sin escribir entradas en el registro de auditoría · Prueba de laboratorio o demostración de investigadores
- Chatbot de soporte Lena de Lenovo inducido a emitir carga XSS que roba cookies de sesión de agentes · Prueba de laboratorio o demostración de investigadores
- Inyección de prompts en Copilot pone VS Code en modo de aprobación automática (CVE-2025-53773) · Prueba de laboratorio o demostración de investigadores
- AgentFlayer: un solo documento envenenado de Google Drive hace que ChatGPT filtre claves de API · Prueba de laboratorio o demostración de investigadores
- Invitation Is All You Need: invitaciones de calendario envenenadas hacen que Gemini controle la casa · Prueba de laboratorio o demostración de investigadores
- Inyección de comandos en Claude Code elude el aviso de confirmación (CVE-2025-54795 y -54794) · Prueba de laboratorio o demostración de investigadores
- CurXecute y MCPoison: fallas en la configuración MCP de Cursor permiten ejecución de código · Prueba de laboratorio o demostración de investigadores
- Miles de conversaciones compartidas de ChatGPT aparecen en Google; OpenAI elimina la función
- Wiz halla bypass de autenticación que expone apps empresariales privadas en Base44 de Wix · Prueba de laboratorio o demostración de investigadores
- Gemini CLI secuestrado mediante un README envenenado para exfiltrar credenciales en silencio · Prueba de laboratorio o demostración de investigadores
- Servidores llama.cpp expuestos filtran prompts de usuarios por el endpoint de depuración /slots · Prueba de laboratorio o demostración de investigadores
- Un hacker introduce un prompt de borrado de datos en la extensión Amazon Q Developer para VS Code
- Error en Meta AI permitía a cualquier usuario conectado leer prompts y respuestas privados ajenos · Prueba de laboratorio o demostración de investigadores
- Empleado de DOGE Marko Elez filtra clave de API de xAI que da acceso a 52 modelos de Grok
- Falsa extensión 'Solidity Language' en Open VSX roba $500K a un desarrollador de Cursor
- Texto oculto en correos hace que los resúmenes de Gemini para Workspace den falsas alertas · Prueba de laboratorio o demostración de investigadores
- El bot de contratación McHire de McDonald's expuso hasta 64 M de candidaturas con la clave '123456' · Prueba de laboratorio o demostración de investigadores
- Inyección en ticket de soporte hace que Cursor con Supabase MCP vuelque tokens de integración · Prueba de laboratorio o demostración de investigadores
- Nikkei descubre indicaciones ocultas que ordenan a los revisores de IA elogiar los artículos en 17 preprints de 14 universidades · Prueba de laboratorio o demostración de investigadores
- Muestra de malware Skynet incrusta inyección de prompts para engañar a analizadores con IA
- La puerta trasera Pickai se propaga por fallas de ComfyUI a casi 700 servidores de imágenes de IA
- Falla lógica en el servidor MCP de Asana expuso datos de clientes entre organizaciones por un mes
- RCE en el constructor de agentes Langflow (CVE-2025-3248) explotado para propagar la botnet Flodrix
- El feed Discover de la app Meta AI difunde chats médicos y legales privados de los usuarios
- EchoLeak: inyección de prompts sin clics en Microsoft 365 Copilot (CVE-2025-32711) · Prueba de laboratorio o demostración de investigadores
- Instancia expuesta de Open WebUI secuestrada para ejecutar criptominero e infostealer creados por IA
- Apps creadas con Lovable filtran datos: 303 endpoints de 170 proyectos sin seguridad a nivel de fila · Prueba de laboratorio o demostración de investigadores
- Paquetes PyPI que imitan el SDK de Alibaba AI Labs ocultan un infostealer en un modelo PyTorch
- Inyección de prompts en GitLab Duo filtra código privado mediante texto oculto en merge requests · Prueba de laboratorio o demostración de investigadores
- Paquetes npm 'sw-cur' y 'aiide-cur' instalan puerta trasera en Cursor en macOS, 3,200 descargas
- Empleado de xAI filtra clave de API en GitHub y expone 60 modelos privados de Grok durante dos meses
- PIPC de Corea: DeepSeek envió prompts de usuarios coreanos a Volcano Engine, vinculada a ByteDance
- AP y The Seattle Times obtienen unos 3.500 archivos sin censurar de estudiantes señalados por la monitorización con IA de Gaggle en Vancouver, WA
- Microsoft identifica a miembros de Storm-2139 que secuestraron Azure OpenAI con claves robadas
- Copilot sirve código de 20,000 repositorios de GitHub que se hicieron privados, vía caché de Bing · Prueba de laboratorio o demostración de investigadores
- Hacker 'Gloomer' afirma haber vulnerado OmniGPT filtrando 34M de líneas de chat y 30K contactos
- Bandas de LLMjacking cargan claves robadas de DeepSeek en proxies inversos días tras el lanzamiento
- nullifAI: modelos con pickle roto en Hugging Face evaden Picklescan y llevan shells inversos
- Paquetes falsos 'deepseeek' y 'deepseekai' en PyPI roban secretos a desarrolladores de DeepSeek
- DeepSeek deja abierta una base de datos ClickHouse con registros de chat y secretos de API
- OpenAI dice tener evidencia de que DeepSeek destiló sus modelos mediante cuentas de API bloqueadas
- DeepSeek suspende nuevos registros tras el pico de una campaña de DDoS y fuerza bruta de un mes
- La biblioteca de IA Ultralytics es hackeada a través de GitHub Actions para distribuir un criptominero en PyPI
- Un denunciante afirma que el chatbot de IA “Ed” de LAUSD, valorado en 6.000.000 USD, envió datos de estudiantes al extranjero antes del colapso del proveedor AllHere
- Investigadores de IA de Microsoft exponen 38 TB de datos por un token SAS mal configurado
- Paquete malicioso 'torchtriton' de confusión de dependencias afecta a PyTorch a través de PyPI
Los mismos expedientes en otras investigaciones
- Vista en incidentes reales Los propios sistemas de IA se convierten en objetivos · International AI Safety Report · 85 en común
- Vista en incidentes reales Los accidentes con IA son difíciles de evitar · CAIS · 13 en común
- Vista en incidentes reales La IA potente se filtra o se roba · CAIS · 11 en común
- Vista en incidentes reales Los agentes de IA fallan con menos oportunidades de detenerlos · International AI Safety Report · 3 en común
- Vista en incidentes reales Fallan las propias medidas de seguridad de los desarrolladores de IA · CAIS · 2 en común
- Vista en incidentes reales La IA ejecuta más partes de cada ataque, sin llegar a la autonomía total · International AI Safety Report · 1 en común
Advertencias de otras fuentes vinculadas a algunos de los mismos expedientes.
Otras advertencias de este grupo
- Fuera de lo que medimos Discriminación y contenido tóxico
- Señales tempranas Información errónea
- Vista en incidentes reales Actores maliciosos y uso indebido
- Vista en incidentes reales Interacción persona-ordenador
- Fuera de lo que medimos Daños socioeconómicos y ambientales
- Vista en incidentes reales Seguridad de los sistemas de IA, fallos y limitaciones