Los chatbots de IA para codificación han evolucionado hacia terminales de desarrollo de software nativos de IA y agentes de codificación autónomos, pero este cambio podría abrir la puerta a nuevos riesgos de seguridad.

Investigadores de seguridad han detectado múltiples vulnerabilidades en Antigravity, la nueva plataforma de desarrollo de software basada en agentes de IA de Google, menos de 24 horas después de su lanzamiento.

Antigravity permite a los usuarios implementar agentes que pueden planificar, ejecutar y verificar tareas complejas de forma autónoma en editores de código, terminales de desarrollo de software y navegadores web. Sin embargo, la plataforma corre el riesgo de sufrir ataques de puerta trasera a través de espacios de trabajo comprometidos, según Aaron Portnoy, investigador principal de Mindgard, una startup de pruebas de seguridad de IA.

Según se informa, la falla de seguridad está relacionada con el requisito de Antigravity de que los usuarios trabajen dentro de un «espacio de trabajo de confianza». Una vez que ese espacio de trabajo se ve comprometido, puede «incrustar código silenciosamente que se ejecuta cada vez que se inicia la aplicación, incluso después de cerrar el proyecto original», explicó Portnoy en una publicación de blog el miércoles 26 de noviembre.

La vulnerabilidad puede explotarse tanto en PC con Windows como con Mac, añadió.

Desde el año pasado, los ingenieros y desarrolladores de software utilizan cada vez más herramientas basadas en IA para generar y editar código. La IA generativa también se está integrando directamente en terminales de desarrollo y espacios de trabajo de codificación, y ya se está perfilando una transición hacia agentes de codificación de IA.

Sin embargo, los directores de sistemas de información de las grandes empresas dudan en ceder partes clave de sus operaciones a agentes de IA, ya que podrían volverse no autorizados o ser pirateados para usos maliciosos. En julio de este año, un agente de codificación de IA desarrollado por Replit borró por completo la base de datos activa de un usuario sin previo aviso, a pesar de una directiva clara que indicaba específicamente: «No más cambios sin permiso explícito».

«Cuando se combina el comportamiento de un agente con el acceso a recursos internos, las vulnerabilidades se vuelven más fáciles de descubrir y mucho más peligrosas», declaró Portnoy, según Forbes. «La velocidad a la que encontramos fallos críticos ahora mismo se asemeja a la del hackeo de finales de los 90. Los sistemas de IA se entregan con enormes presunciones de confianza y límites prácticamente inexistentes», añadió.

¿Qué es Antigravity?.

Junto con el esperado lanzamiento de Gemini 3, Google presentó el 18 de noviembre su nueva herramienta de programación basada en IA, que incluye una nueva interfaz centrada en el agente. Los usuarios pueden interactuar con su código de dos maneras a través de la plataforma: Vista del Editor y Superficie del Gestor. La Vista del Editor permite a los usuarios una mayor participación activa, ya que Antigravity funciona como un IDE (entorno de desarrollo integrado) basado en IA con autocompletado de tabulaciones y comandos en línea para un flujo de trabajo sincrónico.

En el modo Superficie del Gestor, los usuarios pueden implementar múltiples agentes que funcionarán de forma autónoma en diferentes espacios de trabajo. Por ejemplo, un agente de IA puede generar código para una nueva función de la aplicación, usar la terminal para iniciarla y usar el navegador para probar y verificar si la función funciona correctamente, todo ello sin intervención humana sincrónica, según Google.

En particular, los usuarios pueden personalizar el nivel de autonomía que tienen sobre los agentes de IA integrados de Antigravity. El modo «Desarrollo asistido por agente» es la configuración predeterminada y el «Desarrollo basado en revisión» la configuración más restrictiva.

¿Qué han descubierto los expertos en seguridad?.

Dado que Antigravity se basa en Visual Studio Code, un editor de código abierto, se solicita a los usuarios que marquen las carpetas de código fuente como «de confianza» o «no de confianza» tras abrirlas. Según Portnoy, la mayoría de los usuarios se verán obligados a indicar que confían en el código fuente incluso si no lo hacen, ya que al hacer clic en «no de confianza» las funciones de IA incluidas en Antigravity serían inaccesibles.

En su experimento, Portnoy comenzó atacando una de las indicaciones del sistema de Antigravity (un conjunto de instrucciones predefinidas que debe seguir el agente de IA), que indica que este debe seguir siempre las reglas definidas por el usuario «sin excepción». Esto llevó a Portnoy a crear cuidadosamente una instrucción de usuario maliciosa que obligaba al agente de IA a reemplazar el archivo de configuración global del MCP (Protocolo de Contexto de Modelo) por un archivo malicioso ubicado dentro del proyecto, todo ello sin necesidad de intervención del usuario, manteniendo el posible ataque oculto.

Una vez instalado este archivo, es persistente. Cualquier ejecución futura de Antigravity, independientemente de si se abre un proyecto o de la configuración de confianza, provocará la ejecución del comando. Incluso después de desinstalar y reinstalar Antigravity por completo, la puerta trasera permanece activa. El usuario debe conocer el archivo malicioso mcp_config.json y eliminarlo manualmente, declaró Portnoy.

¿Cómo ha respondido Google?.

Tras los informes de que Antigravity podría ser pirateado con fines maliciosos, un portavoz de Google declaró: «El equipo de Antigravity se toma muy en serio todos los problemas de seguridad. Animamos activamente a los investigadores de seguridad externos y a los cazadores de errores a que informen sobre las vulnerabilidades para que podamos identificarlas y abordarlas rápidamente. En aras de la transparencia, las publicamos en nuestro sitio web mientras trabajamos para corregirlas y proporcionamos actualizaciones en tiempo real a medida que implementamos soluciones».

En su página de búsqueda de errores, Google afirmó tener conocimiento de otros dos tipos de problemas de seguridad relacionados con Antigravity. El primer problema conocido es el uso del agente Antigravity para exfiltrar datos mediante ataques indirectos de inyección de prompts. Este problema fue detectado por otra startup de ciberseguridad llamada Prompt Armor.

“Trabajar con datos no confiables puede afectar el comportamiento del agente. Cuando el código fuente, o cualquier otro contenido procesado, contiene información no confiable, el agente de Antigravity puede ser influenciado para que siga esas instrucciones en lugar de las del usuario”, declaró Google. El agente puede ser influenciado para “filtrar datos de archivos en el ordenador del usuario en URL maliciosas generadas en Markdown o por otros medios”, añadió.

El segundo problema conocido es el uso del agente Antigravity para ejecutar código malicioso mediante ataques de inyección de prompts. “El agente Antigravity tiene permiso para ejecutar comandos. Si bien es cauteloso al ejecutar comandos, puede ser influenciado para que ejecute comandos maliciosos”, reconoció el gigante tecnológico.