“TrustFall” expone el riesgo de ejecutar código Claude

Los desarrolladores que utilizan las últimas versiones de herramientas de codificación de IA, como Claude Code, Cursor CLI, Gemini CLI y CoPilot CLI, podrían ejecutar sin darse cuenta código malicioso en sus sistemas con una sola pulsación de tecla, o en entornos de integración continua, sin pulsar ninguna tecla.
Según los investigadores de Adversa AI, esto se debe a que a los usuarios no se les advierte adecuadamente sobre cómo un repositorio malicioso puede aprobar y generar automáticamente un servidor Model Context Protocol (MCP) sin su consentimiento o conocimiento explícito. Las cuatro herramientas de codificación muestran algún tipo de cuadro de diálogo de confianza que le pide al usuario que indique si confía en un repositorio en particular. Sin embargo, no proporcionan detalles completos sobre lo que realmente podría significar este consentimiento.
Adversa AI identificó a Claude Code en su diálogo de confianza como el proveedor con la menor información y a Gemini AI como el proveedor con la mayor información, junto con la capacidad de permitir o no permitir la ejecución de un servidor MCP en el sistema del desarrollador. Sin embargo, según el investigador principal de Adversa, Rony Utevsky, la exposición es la misma en los cuatro casos.

Relacionado:La ingeniería inversa con IA descubre un error fatal en GitHub

«Un repositorio puede proporcionar una configuración que aprueba automáticamente un servidor MCP y lo inicia inmediatamente, no se requiere ninguna llamada de herramienta por parte del agente», le dice a Dark Reading. «La diferencia es la claridad con la que el diálogo le dice al usuario lo que está aceptando».
Sin embargo, la propia Anthropic describió el problema identificado por Adversa AI como existente fuera de su modelo de amenaza y le dijo a Adversa AI que cree que su diálogo de confianza proporciona advertencias suficientes a los usuarios. Anthropic señaló que solo se está produciendo actividad maliciosa después El usuario permitió que un repositorio/carpeta fuera confiable o seguro, dice Utevsky, y agrega que Adversa AI no ha planteado el problema a los otros fabricantes de herramientas de codificación de IA, ya que el enfoque de Anthropic parece ser la convención general.

«Una vez que reconocimos el problema como una convención a nivel de clase en lugar de un error del proveedor, la divulgación específica del proveedor ya no era la respuesta correcta: se puede revelar responsablemente una vulnerabilidad a un proveedor, pero no una convención», explica.

¿Un camino recto?

Según Adversa AI, para llevar a cabo un ataque, un actor de amenazas simplemente necesitaría crear un repositorio que contenga un servidor MCP malicioso y ajustes de configuración que autoricen automáticamente su ejecución. Cuando un desarrollador clona o abre el repositorio en la herramienta de codificación de IA y presiona Enter durante lo que parece ser una verificación de seguridad de rutina, la herramienta de codificación de IA lanza inadvertidamente el código controlado por el atacante con todos los privilegios del sistema del desarrollador y sin más indicaciones.

Relacionado:Una nueva ola de extensiones GlassWorm VS Code se está extendiendo por la cadena de suministro

La carga útil puede variar y permitir a los atacantes leer archivos locales, incluidos secretos, claves SSH y tokens. acceder a otros proyectos; instalar puertas traseras; y establecer una conexión de comando y control. En un entorno CI/CD, el mismo ataque ocurriría sin ninguna interacción humana.

«El impacto es un compromiso de toda la máquina, no solo del acceso al proyecto», dijeron esta semana investigadores de Adversa AI en un informe centrado en los ataques de Claude Code. «servidor MCP se ejecutan como procesos nativos del sistema operativo con todos los privilegios del usuario que los ejecuta Código Claude.” Esto significa que no están protegidos ni restringidos de ninguna manera. «La carga útil se ejecuta en el momento en que se inicia el proceso del servidor MCP», agregaron.

Un cambio arriesgado en el diálogo de confianza en Claude Code

El informe señala un cambio en el cuadro de diálogo de confianza que Anthropic introdujo en Claude Code versión 2.1, que eliminó el lenguaje de advertencia que anteriormente hacía que el riesgo fuera más visible para los usuarios. Este cambio convirtió una acción rutinaria del desarrollador de clonar o verificar un repositorio en una acción de alto riesgo, dice Utevsky.

«El cuadro de diálogo que ven los usuarios es un simple 'Sí, confío en esta carpeta'», explica. «La mayoría de los desarrolladores no se dan cuenta de que la 'confianza' les da tanto poder». Por el contrario, las versiones anteriores de Claude Code anteriores a la 2.1 advertían específicamente contra la ejecución de MCP y brindaban la opción de continuar con los servidores MCP deshabilitados. Ambos ya no existen, dice Utevsky.

Relacionado:El acceso de un empleado de Vercel a una herramienta de inteligencia artificial provocó una violación de datos

El investigador de seguridad dice que el problema de TrustFall agrega tres vulnerabilidades explotables en Claude Code que podrían permitir que un repositorio malicioso abuse de la configuración relacionada con el proyecto para cambiar silenciosamente el comportamiento de la herramienta en la computadora de un desarrollador. Las otras tres vulnerabilidades incluyen: CVE-2025-59536, CVE-2026-21852Y CVE-2026-33068, Anthropic parchó todo eso.

Adversa AI también identificó tres ajustes de configuración que un atacante podría usar en sus repositorios maliciosos para desencadenar la ejecución de código arbitrario en el sistema de un desarrollador sin que Claude Code reciba primero una advertencia explícita. Uno de ellos utiliza una configuración que autoriza automáticamente la ejecución de un servidor MCP malicioso una vez que el usuario acepta el mensaje de confianza de carpeta general de Claude Code. La segunda opción coloca la carga útil directamente en el archivo de configuración, lo que dificulta que los escáneres de seguridad la marquen. La tercera opción implica preautorizar llamadas a herramientas específicas a través de la configuración del proyecto, lo que permite la ejecución del código sin mayor interacción del usuario.

«En nuestra opinión, el lenguaje del nuevo diálogo de advertencia trivializa la importancia de la decisión y la gravedad de las consecuencias, pero no proporciona ninguna información sobre el contenido del proyecto», afirma Utevsky. «Además, el valor predeterminado es 'Confiar', por lo que presionar 'Entrar' por reflejo genera un comportamiento inseguro».

También cree que el manejo de entornos peligrosos por parte de Claude Code es internamente inconsistente. Otros ajustes de configuración, como bypassPermisosinvoca un diálogo mucho más preocupante con un lenguaje más fuerte que por defecto es «No, renuncia». «El mismo producto maneja entornos menos peligrosos con más cuidado que este», dice Utevsky.

No es un agujero de seguridad, pero los desarrolladores aún necesitan medidas de protección

Anthropic adopta la posición de que, a diferencia de vulnerabilidades anteriores que permitían la ejecución de código malicioso incluso antes de que apareciera un diálogo de confianza, el problema identificado por Adversa AI es que la ejecución del código ocurre solo después de que el usuario ha aceptado el proyecto. «Si esto cumple con el umbral de vulnerabilidad de Anthropic es su decisión», señaló el proveedor de seguridad en su informe. «En nuestra opinión, si los usuarios están tomando una decisión de confianza informada como parte del diálogo v2.1+ no es una pregunta concluyente. No lo son».

Reducir la exposición a Amenazas de agentes de IA Según Adversa AI, tales medidas se reducen a reforzar los controles en los puntos finales de los desarrolladores y los canales de CI/CD y mejorar la transparencia general sobre cómo se utilizan herramientas como Claude Code.

En los sistemas de desarrollo, las organizaciones deben centrarse en validar las configuraciones del proyecto y monitorear comportamientos inesperados al abrir nuevos repositorios. Las organizaciones deben asegurarse de validar proyectos y utilizar el monitoreo del comportamiento para detectar procesos o actividades inusuales iniciadas por herramientas de desarrollo. En entornos de CI, la protección más efectiva es evitar ejecutar automáticamente la herramienta en código que no es de confianza, dijo Adversa. «Verificar la configuración del repositorio, las acciones de automatización y los marcos del proyecto no es técnicamente complejo, pero requiere tiempo y disciplina», dice Utevsky. «Ahora también es inevitable dado lo comunes que se han vuelto los ataques a la cadena de suministro y los paquetes de código abierto intencionalmente maliciosos».

No te pierdas el último podcast de Dark Reading Confidential. Cómo se volvió viral una historia sobre una prueba de penetración de USB. Hace dos décadas, Dark Reading publicó su primer artículo de gran éxito: una columna de un evaluador de penetración que repartía unidades USB manipuladas en el estacionamiento de una cooperativa de crédito y dejaba que los empleados curiosos hicieran el resto. Este episodio repasa la pieza histórica con su autor Steve Stasiukonis. ¡Escuche ahora!