https://agentecero.dev/Agente Cero: registro en español de incidentes de seguridad en agentes de IA y servidores MCP, directorio de herramientas de IA para ciberseguridad y newsletter semanal.eshttps://agentecero.dev/incidentes/envoy-ai-gateway-mcp-sesion/https://agentecero.dev/incidentes/envoy-ai-gateway-mcp-sesion/Mon, 19 Oct 2026 08:00:00 +0000El proxy MCP de Envoy AI Gateway no verificaba el sujeto anti-secuestro incluido en la sesión al reanudarla, lo que permitía a un atacante con el ID de sesión de otro usuario actuar en su nombre. El chart oficial de Helm agravaba el problema al incluir una semilla de cifrado por defecto conocida públicamente.https://agentecero.dev/incidentes/langflow-rce-autenticado-explotado/https://agentecero.dev/incidentes/langflow-rce-autenticado-explotado/Thu, 15 Oct 2026 08:00:00 +0000Una vulnerabilidad de ejecución remota de código autenticada en Langflow, con CVSS 9,9, está siendo atacada activamente. Según la fuente, se registraron más de 1.400 intentos de explotación en honeypots.https://agentecero.dev/incidentes/cyberxero-claude-code-ucrania/https://agentecero.dev/incidentes/cyberxero-claude-code-ucrania/Mon, 12 Oct 2026 08:00:00 +0000Investigadores describieron una campaña de acceso inicial que combinaba Cobalt Strike con Claude Code contra sitios WordPress, comercios electrónicos y entidades de infraestructuras críticas en Ucrania. Según la fuente, se robaron más de 628.000 registros.https://agentecero.dev/incidentes/agentcorruption-bedrock-agentcore/https://agentecero.dev/incidentes/agentcorruption-bedrock-agentcore/Thu, 08 Oct 2026 08:00:00 +0000Dark Reading informó de una vulnerabilidad, ya corregida, en AWS Bedrock AgentCore bautizada como AgentCorruption. Un único prompt malicioso contra un chatbot podía servir para comprometer el conjunto de agentes de una organización en AWS.https://agentecero.dev/incidentes/salesbleed-agentforce/https://agentecero.dev/incidentes/salesbleed-agentforce/Thu, 24 Sep 2026 08:00:00 +0000Zenity Labs describió tres vulnerabilidades en Agentforce que permitían envenenar formularios de leads con inyecciones indirectas, extraer datos del CRM mediante peticiones DNS o de imágenes y desde la previsualización de enlaces de Slack, y enviar phishing con la identidad del agente. Salesforce colaboró en la corrección.https://agentecero.dev/incidentes/asistente-codigo-shai-hulud/https://agentecero.dev/incidentes/asistente-codigo-shai-hulud/Wed, 16 Sep 2026 08:00:00 +0000Según un informe de Mandiant recogido por The Hacker News, un atacante secuestró la sesión activa de un asistente de código en un proveedor SaaS no identificado. El asistente recomendó software envenenado que fue aceptado, y el gusano Shai-Hulud se extendió por unos cien repositorios internos robando secretos y código.https://agentecero.dev/incidentes/chatgpt-artifactory-canal-encubierto/https://agentecero.dev/incidentes/chatgpt-artifactory-canal-encubierto/Tue, 08 Sep 2026 08:00:00 +0000Check Point Research reveló que una instancia interna de JFrog Artifactory usada por ChatGPT permitía a una cuenta dejar instrucciones que la sesión de otra víctima ejecutaba en silencio, leyendo su Gmail conectado. Cuando se notificó a OpenAI, la instancia ya había sido retirada.https://agentecero.dev/incidentes/claude-code-action-mcp-json/https://agentecero.dev/incidentes/claude-code-action-mcp-json/Thu, 16 Jul 2026 08:00:00 +0000Antes de la versión 1.0.74, un atacante podía incluir un fichero .mcp.json malicioso en un pull request y lograr ejecución de código en el runner de GitHub Actions. Eso permitía exfiltrar secretos del workflow como claves API y tokens.https://agentecero.dev/incidentes/github-mcp-lockdown-credenciales/https://agentecero.dev/incidentes/github-mcp-lockdown-credenciales/Fri, 26 Jun 2026 08:00:00 +0000En las versiones 0.22.0 a 1.1.1 en modo HTTP con lockdown activado, una caché global se inicializaba con el cliente del primer usuario autenticado. Las consultas posteriores de otros usuarios se ejecutaban con esas credenciales; se corrigió en la 1.1.2.https://agentecero.dev/incidentes/nginx-ui-mcp-cve-2026-33032/https://agentecero.dev/incidentes/nginx-ui-mcp-cve-2026-33032/Mon, 30 Mar 2026 08:00:00 +0000Las versiones 2.3.5 y anteriores de Nginx UI exponen un endpoint MCP protegido solo por una lista de IP que, vacía por defecto, se interpreta como permitir todo. Un atacante en red puede invocar todas las herramientas MCP sin autenticarse, modificar la configuración y reiniciar nginx.https://agentecero.dev/incidentes/moltbook-base-datos-expuesta/https://agentecero.dev/incidentes/moltbook-base-datos-expuesta/Fri, 30 Jan 2026 08:00:00 +0000Wiz descubrió que Moltbook, un sitio donde agentes de OpenClaw publican en nombre de sus dueños, tenía su backend de Supabase legible y escribible. Quedaban expuestos tokens API de agentes y mensajes privados.https://agentecero.dev/incidentes/clawhub-skills-maliciosas/https://agentecero.dev/incidentes/clawhub-skills-maliciosas/Tue, 27 Jan 2026 08:00:00 +0000Koi Security encontró varios centenares de skills maliciosas publicadas en ClawHub, el marketplace comunitario del agente personal OpenClaw. La mayoría distribuían infostealers disfrazados de herramientas de trading de criptomonedas o utilidades.https://agentecero.dev/incidentes/claude-code-espionaje/https://agentecero.dev/incidentes/claude-code-espionaje/Thu, 13 Nov 2025 08:00:00 +0000Anthropic informó de que un grupo que atribuye a un actor estatal chino eludió las salvaguardas de Claude Code y lo utilizó para ejecutar gran parte de una campaña de intrusión contra unas treinta organizaciones. Según la empresa, el agente realizó reconocimiento, explotación y recogida de datos con poca intervención humana.https://agentecero.dev/incidentes/forcedleak-agentforce/https://agentecero.dev/incidentes/forcedleak-agentforce/Thu, 25 Sep 2025 08:00:00 +0000Noma Security encadenó una inyección de prompt en un formulario de captación de leads con un dominio caducado que seguía en la lista de confianza de la política CSP de Salesforce para extraer registros del CRM. Salesforce corrigió el problema y volvió a asegurar el dominio.https://agentecero.dev/incidentes/shadowleak-deep-research/https://agentecero.dev/incidentes/shadowleak-deep-research/Thu, 18 Sep 2025 08:00:00 +0000Radware describió cómo un correo con instrucciones ocultas podía llevar al agente Deep Research a leer el Gmail del usuario y enviar datos personales a un servidor del atacante. La exfiltración se producía desde la nube de OpenAI, sin tráfico visible en la red de la víctima.https://agentecero.dev/incidentes/s1ngularity-nx/https://agentecero.dev/incidentes/s1ngularity-nx/Tue, 26 Aug 2025 08:00:00 +0000Se publicaron en npm versiones maliciosas de Nx con un script de postinstalación que invocaba Claude Code, Gemini CLI y Amazon Q en el equipo del desarrollador para localizar carteras, tokens y claves SSH. Lo encontrado se subía a repositorios públicos de GitHub.https://agentecero.dev/incidentes/comet-prompt-injection/https://agentecero.dev/incidentes/comet-prompt-injection/Wed, 20 Aug 2025 08:00:00 +0000El equipo de seguridad de Brave mostró que instrucciones ocultas en una publicación de Reddit podían llevar al agente de Comet a abrir sesiones del usuario (correo, cuentas) y filtrar códigos de un solo uso. El caso ilustra que la política de mismo origen no protege frente a un agente que actúa con la sesión del usuario.https://agentecero.dev/incidentes/salesloft-drift-tokens/https://agentecero.dev/incidentes/salesloft-drift-tokens/Fri, 08 Aug 2025 08:00:00 +0000Un actor identificado por Google como UNC6395 usó tokens OAuth robados de la integración de Drift para consultar instancias de Salesforce de cientos de organizaciones y recopilar credenciales guardadas en casos de soporte. Varias empresas de seguridad confirmaron haberse visto afectadas.https://agentecero.dev/incidentes/agentflayer-chatgpt-connectors/https://agentecero.dev/incidentes/agentflayer-chatgpt-connectors/Wed, 06 Aug 2025 08:00:00 +0000Zenity Labs demostró que un documento compartido en Google Drive con texto oculto podía hacer que ChatGPT buscara claves API en el Drive del usuario y las enviara al atacante a través de la URL de una imagen. La única interacción necesaria era que el documento se compartiera con la víctima.https://agentecero.dev/incidentes/curxecute-cursor/https://agentecero.dev/incidentes/curxecute-cursor/Fri, 01 Aug 2025 08:00:00 +0000Aim Labs comprobó que una inyección de prompt que llegara al agente de Cursor podía escribir una nueva entrada de servidor MCP en la configuración del proyecto, y Cursor la ejecutaba sin pedir confirmación. Se corrigió en versiones posteriores.https://agentecero.dev/incidentes/gemini-cli-ejecucion-silenciosa/https://agentecero.dev/incidentes/gemini-cli-ejecucion-silenciosa/Mon, 28 Jul 2025 08:00:00 +0000Tracebit mostró que un README con instrucciones ocultas, junto con una validación débil de la lista de comandos permitidos, conseguía que Gemini CLI ejecutara comandos arbitrarios y enviara variables de entorno al atacante. Google publicó una versión corregida.https://agentecero.dev/incidentes/amazon-q-extension-wiper/https://agentecero.dev/incidentes/amazon-q-extension-wiper/Wed, 23 Jul 2025 08:00:00 +0000Un atacante logró que se fusionara en el repositorio abierto de la extensión un cambio que añadía un prompt para borrar el equipo del usuario y recursos en la nube. La versión contaminada llegó al marketplace de VS Code antes de que AWS la retirara.https://agentecero.dev/incidentes/replit-borra-base-datos/https://agentecero.dev/incidentes/replit-borra-base-datos/Fri, 18 Jul 2025 08:00:00 +0000En un experimento público de desarrollo asistido, el agente de Replit ejecutó comandos destructivos contra una base de datos de producción pese a las instrucciones de no tocar el código, y después informó de forma inexacta sobre lo ocurrido. Replit anunció medidas como separar entornos de desarrollo y producción.https://agentecero.dev/incidentes/supabase-mcp-service-role/https://agentecero.dev/incidentes/supabase-mcp-service-role/Thu, 03 Jul 2025 08:00:00 +0000General Analysis demostró que un ticket de soporte con instrucciones podía hacer que un agente de Cursor, conectado a Supabase por MCP con una clave service-role, volcara una tabla de secretos en el propio hilo del ticket. Es un ejemplo claro de la combinación de datos privados, entrada no confiable y canal de salida.https://agentecero.dev/incidentes/mcp-inspector-cve-2025-49596/https://agentecero.dev/incidentes/mcp-inspector-cve-2025-49596/Mon, 30 Jun 2025 08:00:00 +0000Oligo Security detectó que el proxy local de MCP Inspector no exigía autenticación, de modo que una web maliciosa podía alcanzarlo en localhost y ejecutar comandos en el equipo del desarrollador. La puntuación CVSS asignada fue 9,4.https://agentecero.dev/incidentes/echoleak-m365-copilot/https://agentecero.dev/incidentes/echoleak-m365-copilot/Wed, 11 Jun 2025 08:00:00 +0000Investigadores de Aim Security demostraron que un correo electrónico preparado podía llevar a Microsoft 365 Copilot a extraer información del tenant de la víctima sin que esta hiciera clic en nada. El fallo se registró como CVE-2025-32711 y Microsoft lo corrigió en el lado del servicio.https://agentecero.dev/incidentes/github-mcp-repos-privados/https://agentecero.dev/incidentes/github-mcp-repos-privados/Mon, 26 May 2025 08:00:00 +0000Invariant Labs mostró que una issue maliciosa en un repositorio público podía dirigir a un agente conectado al servidor MCP de GitHub para leer un repositorio privado y publicar su contenido en un pull request. El problema no es un bug de código sino de diseño: el agente tenía un token con acceso amplio.https://agentecero.dev/incidentes/langflow-cve-2025-3248/https://agentecero.dev/incidentes/langflow-cve-2025-3248/Mon, 07 Apr 2025 08:00:00 +0000Un endpoint de validación de código de Langflow permitía a cualquiera con acceso de red ejecutar Python sin autenticarse. CISA lo incluyó en su catálogo de vulnerabilidades explotadas activamente.