%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.12%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EWhen AI Agents Leak Data by%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EFollowing the Rules – The MCP%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EPoisoning Problem%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Un asistente de IA que gestiona datos corporativos puede entregarlos a un atacante sin infringir ni una regla. La investigación de Microsoft Incident Response desnuda un agujero ciego que la industria recién empieza a mirar.
El problema
Investigadores de Microsoft Incident Response descubrieron y documentaron un ataque en el que un adversario modifica la descripción textual de una herramienta que un agente de IA puede invocar. Al envenenar esa metadata —el texto que define qué hace y cómo se usa la herramienta— el atacante logra que el agente, actuando de forma autónoma, filtre datos de la empresa a un tercero sin que el sistema genere ninguna alerta. La fuente de esta información es The Hacker News, que reportó el hallazgo publicado por el equipo de seguridad de Microsoft.
Consecuencias
El peligro no está en que el agente desobedezca, sino en que obedece al pie de la letra. Como cada paso respeta las políticas de acceso y el flujo parece rutinario, un entorno con monitoreo default no registra la anomalía. Para una organización que ya delegó tareas sensibles a asistentes de IA —consulta de bases de datos, acceso a APIs internas, procesamiento de documentos— esto significa que un atacante podría extraer información crítica sin ruido, en operaciones que parecen legítimas.
Causas
La raíz del problema es la confianza excesiva en la metadata que describe las capacidades de un agente. Los sistemas actuales de razonamiento con grandes modelos de lenguaje (LLM) interpretan literalmente las descripciones de herramientas; si un adversario logra inyectar una instrucción oculta en ese texto —por ejemplo, a través de un documento malicioso que el agente procesa o de una configuración comprometida— el agente ejecuta la orden sin cuestionarla. Microsoft lo presentó como un caso en el que el agente “nunca rompe una regla”, porque lo que se vulnera es la semántica de la instrucción, no el control de acceso técnico.