Un cortafuegos bloqueó un ataque — y luego lo ejecutó. Explicamos qué es el "ghostjacking".

Una entrada común en el registro de seguridad puede convertir al asistente de IA de una empresa en una herramienta del atacante. Los especialistas de Tenet Threat Labs han demostrado una serie de ataques Ghostjacking, en los que la IA modifica por sí misma la configuración de la infraestructura, ejecuta comandos y transmite secretos, aunque los sistemas de protección formalmente siguen funcionando como corresponde.

El problema clave surge cuando el asistente de IA lee datos de servicios externos y, al mismo tiempo, tiene permiso para realizar acciones en nombre de un empleado. Basta que el atacante oculte una instrucción en el registro de eventos o en una alerta. El asistente interpreta ese texto como parte de la tarea de trabajo y utiliza los privilegios que ya le fueron otorgados. Según Tenet, las soluciones de protección de endpoints, los firewalls de aplicaciones web y los sistemas de gestión de acceso no detectaban las acciones, porque la IA no infringía las reglas establecidas.

Uno de los escenarios más ilustrativos lo probaron en Cloudflare. El firewall bloqueaba una petición maliciosa especialmente preparada y registraba su contenido en el log. Cuando un empleado pedía a Claude Code que investigara los eventos bloqueados, el asistente interpretaba la instrucción oculta por el atacante como una guía de acción. La IA podía modificar los registros del sistema de nombres de dominio, redirigir el sitio y el correo de la empresa a infraestructura ajena y luego informar que el problema estaba resuelto.

Cuando los especialistas probaron ese escenario, funcionó en 9 de cada 10 casos con la configuración de Claude Code ajustada según las recomendaciones de Cloudflare. La propia petición maliciosa se bloqueaba con éxito cada vez que se comprobaba. Sin embargo, era precisamente la entrada que indicaba que la petición había sido bloqueada la que se convertía en el canal por el cual la instrucción llegaba a la IA. Tenet afirma haber encontrado indicios de una configuración vulnerable en más de 2700 organizaciones, incluidas grandes empresas tecnológicas y financieras.

Un enfoque similar lo probaron con Datadog. Una clave de acceso pública, destinada a la parte cliente del sitio, permitía crear una notificación urgente falsa. Cuando un ingeniero encargaba a la IA revisar errores, el asistente leía la instrucción incluida y ejecutaba el comando indicado. En condiciones de laboratorio, los especialistas pudieron así acceder a las variables de entorno y a las credenciales de los servicios en la nube. Tenet notificó a Datadog sobre el problema el 17 de junio de 2026.

Otra variante afectó a Sentry. El asistente integrado Seer analizaba un informe especialmente preparado y aceptaba la corrección propuesta por el atacante como un hallazgo propio. Luego otro sistema de IA, que trabaja con código, confiaba en el resultado de Seer y ejecutaba los comandos sugeridos, incluso sin recibir la instrucción maliciosa original de forma directa. Se generaba una cadena en la que una IA, de hecho, convencía a la otra de realizar las acciones que el atacante deseaba.

Los especialistas también hallaron una vulnerabilidad de día cero en el entorno aislado Claude Desktop. Las protecciones debían impedir que el asistente enviara datos a servidores externos arbitrarios; sin embargo, el método encontrado permitía eludir esa restricción. Tenet transmitió la información a Anthropic; la empresa confirmó el problema y lo solucionó antes de presentar públicamente en DEFCON 34. Los especialistas no han revelado por ahora los detalles de cómo se eludió la protección.

Los autores de Ghostjacking consideran que los tres escenarios evidencian un problema más amplio. Los asistentes de IA actuales acceden a registros, sistemas de observabilidad, código fuente, infraestructura en la nube y herramientas administrativas, pero no siempre son capaces de distinguir datos útiles de una instrucción oculta en ellos. Cuantos más privilegios recibe el asistente, más graves son las consecuencias de ese error.

Según el cálculo de Tenet, el esquema vulnerable podría encontrarse en más de 15 000 organizaciones. La cifra se obtuvo mediante la extrapolación de datos de 73 materiales públicos relacionados con 48 empresas, por lo que refleja la posible prevalencia de las configuraciones y no el número de intrusiones confirmadas. Según Datadog, el 48% de las empresas de la lista Fortune 500 usan su servicio, y Cloudflare afirma que el 42% de las compañías de esa misma lista la emplean.

Tenet recomienda denegar por defecto las conexiones salientes de los asistentes de IA, exigir que una persona confirme las acciones antes de ejecutar comandos, y separar de forma estricta los datos leídos por el agente de las instrucciones que está permitido ejecutar. La empresa también publicó la herramienta agent-jackstop para Cursor y Claude Code, que limita parte de las capacidades peligrosas. Tenet presentó sus conclusiones el 9 de agosto en la conferencia DEFCON 34 en Las Vegas.