Seguridad de agentes de IA en 2026: envenenamiento de herramientas, filtración de prompts y escapes del sandbox de MCP

Análisis exhaustivo de los principales vectores de ataque dirigidos contra agentes de IA en producción: envenenamiento de herramientas mediante servidores MCP, extracción de prompts a través de canales laterales y técnicas de escape del sandbox. Además, un marco defensivo para proteger tus implementaciones de agentes.

---

La explosión de la superficie de ataque de los agentes

2026 es el año en que los agentes de IA se generalizaron. Claude Code, Codex, Devin, OpenClaw y decenas de otros ya se ejecutan en entornos de producción con acceso real a herramientas: sistemas de archivos, bases de datos, APIs, navegadores e infraestructura en la nube. Un gran poder conlleva una enorme superficie de ataque.

Hemos dedicado el último trimestre a catalogar y probar las vulnerabilidades más críticas que afectan a las implementaciones de agentes de IA. Esto es lo que descubrimos.

Vector de ataque 1: envenenamiento de herramientas mediante servidores MCP

Cómo funciona

1. Cebo: El atacante publica un servidor MCP con un nombre como mcp-github-enhanced o mcp-aws-tools-v2
2. Enganche: Las descripciones de las herramientas incorporan instrucciones invisibles mediante caracteres de control Unicode o inyección de comentarios de markdown
3. Ejecución: Cuando el agente lee las descripciones de las herramientas, las instrucciones inyectadas hacen que exfiltre variables de entorno, claves de API o contenido de archivos
4. Persistencia: Algunas variantes modifican la configuración del agente para añadir permanentemente el servidor malicioso

Ejemplo real

En marzo de 2026, más de 340 desarrolladores instalaron un servidor MCP malicioso publicado como mcp-jira-sync. La descripción de la herramienta list_issues contenía una instrucción oculta que hacía que los agentes incluyeran el contenido de ~/.aws/credentials en cada llamada de API al servidor C2 del atacante.

Vector de ataque 2: extracción de prompts mediante canales laterales

La amenaza

Los prompts del sistema, las instrucciones personalizadas y las configuraciones de herramientas contienen propiedad intelectual valiosa e información crítica para la seguridad. Los atacantes han desarrollado técnicas sofisticadas para extraerlos:

• Inyección de imágenes en markdown — creación de entradas que hacen que el agente renderice una etiqueta de imagen con el prompt del sistema codificado en la URL
• Filtración mediante mensajes de error — activación de condiciones de error específicas que reproducen partes del prompt del sistema en los mensajes de error
• Identificación por patrones de comportamiento — envío de prompts cuidadosamente diseñados y análisis de los patrones de respuesta para reconstruir las instrucciones del sistema
• Canales de salida de herramientas — explotación de herramientas que escriben en archivos o URLs para exfiltrar el contenido de los prompts a través de esos canales

Vector de ataque 3: técnicas de escape del sandbox

Escapes de contenedores

La mayoría de los sandboxes de agentes se ejecutan en contenedores. Identificamos varios vectores de escape específicos de las implementaciones de agentes de IA:

• Explotación de volúmenes montados — los agentes con acceso al sistema de archivos pueden recorrer los volúmenes montados para alcanzar recursos del host
• Abuso del espacio de nombres de red — los agentes que pueden realizar solicitudes HTTP podrían acceder a servicios de metadatos en la nube (169.254.169.254) para robar credenciales
• Inyección de procesos mediante /proc — en contenedores sin reforzar, los agentes pueden escribir en /proc/[pid]/mem de otros procesos
• Ataques con enlaces simbólicos — creación de enlaces simbólicos que apuntan fuera del sandbox antes de realizar operaciones con archivos

Marco defensivo: KENSAI Agent Shield

Recomendaciones

1. Evalúa todos los servidores MCP — revisa manualmente las descripciones de las herramientas antes de conectar agentes a nuevos servidores MCP. Utiliza únicamente fuentes verificadas.
2. Implementa el aislamiento de prompts — mantén los prompts del sistema separados de la memoria accesible para los usuarios. Utiliza barreras arquitectónicas, no solo medidas de protección basadas en instrucciones.
3. Refuerza los contenedores — utiliza microVMs de gVisor o Firecracker en lugar de contenedores estándar. Bloquea el acceso al servicio de metadatos.
4. Supervisa el tráfico saliente — registra y genera alertas sobre todas las conexiones salientes de los entornos de agentes. Crea una lista de destinos permitidos.
5. Rota las credenciales — nunca almacenes credenciales de larga duración en entornos de agentes. Utiliza tokens de corta duración con ámbitos mínimos.

---