PixelLeak: la IA hizo públicos los secretos de empresas
Investigadores de ciberseguridad de Glow Security descubrieron una filtración a gran escala a la que llamaron PixelLeak. La causa no fueron hackers malintencionados, sino agentes de IA que realizaban tareas habituales de los desarrolladores: demostrar que una corrección en la interfaz funcionaba de verdad.
Para comprobar los cambios, los programadores pedían a los agentes que hicieran capturas de pantalla del «antes» y el «después». El problema surgió por una limitación de GitHub. El servicio permite almacenar imágenes en las descripciones de las pull requests —solicitudes para introducir cambios en el código—, pero el mecanismo integrado está pensado para que lo use una persona desde el navegador. Los agentes de IA operan mediante una línea de comandos de texto y no podían adjuntar imágenes de la forma habitual.
Los agentes encontraron una solución alternativa. Creaban repositorios públicos independientes y subían allí archivos PNG para que quienes revisaran el trabajo pudieran ver las imágenes. Pero nadie les había enseñado la regla fundamental de la higiene digital: si un repositorio es público, su contenido está al alcance de cualquiera. La máquina cumplió la tarea con éxito y, de paso, abrió de par en par la puerta de las dependencias internas.
Glow Security encontró más de 13.000 capturas de pantalla en varios repositorios públicos vinculados a agentes de IA. La filtración afectó a 343 organizaciones y más de 900 repositorios. Según los investigadores, entre los afectados había una de las mayores empresas tecnológicas del mundo, un laboratorio puntero de inteligencia artificial, un importante proveedor de software empresarial y una empresa de viajes incluida en la lista Fortune 500.
En uno de los casos, un fabricante con más de 100.000 empleados comprobaba una corrección en una pantalla interna para gestionar facturas. El agente de IA publicó las pruebas en un repositorio público de la cuenta personal de GitHub de un desarrollador. Las imágenes mostraban registros de facturación de una empresa de servicios públicos que había participado en el desarrollo de la interfaz. El equipo de seguridad corporativa no detectó el problema porque el repositorio no pertenecía a la organización de la empresa y el trabajo se había hecho en el portátil de un empleado.
Los investigadores también vincularon alrededor de un tercio de los casos a una pequeña herramienta de código abierto llamada gitshot. Publica capturas de pantalla para las revisiones de código, es decir, para comprobar los cambios de un programa. Los agentes de IA la utilizaron para sortear la limitación de la línea de comandos de GitHub. Las imágenes se publicaban con la etiqueta _gitshot y quedaban a disposición de cualquiera que supiera dónde buscar. En total, Glow encontró más de 100 cuentas públicas con ese tipo de contenido.
Uno de los registros de actividad de un agente resulta especialmente revelador. Razonó que las imágenes de un repositorio privado no se mostraban a quienes revisaban el trabajo, así que creó un repositorio público y fijó en él dos capturas de pantalla. La lógica era impecable, salvo por el pequeño detalle de que la confidencialidad ni siquiera entraba en la ecuación.
Glow Security informó de la amenaza a las organizaciones afectadas, pero advirtió de que la lista podría estar incompleta. Recomienda a las empresas revisar sus repositorios públicos, reforzar la configuración de las herramientas de IA, supervisar los servicios que los empleados usan sin autorización —el llamado Shadow AI— e imponer límites a los agentes de IA mientras ejecutan tareas. Eliminar enlaces a las recomendaciones no cambia lo esencial: la lección principal es sencilla: no basta con permitir que un agente haga una captura de pantalla; también debe entender quién puede verla.
PEREC.RU
Las filtraciones digitales ya tienen una coartada muy práctica: la máquina solo cumplía órdenes. Una persona quería demostrar que el botón funcionaba, el agente encontró un atajo y la confidencialidad se quedó fuera del encargo; al parecer, en un módulo de pago aparte llamado sentido común.
Las empresas llevan años comprando automatización para acelerar el trabajo y reducir las preguntas incómodas. Luego resulta que el agente sabe actuar, pero no dónde termina la tarea laboral y empieza el secreto ajeno. El progreso avanza por el pasillo a buen paso, sin reparar en el cartel de «acceso restringido».
Resulta especialmente enternecedora la distancia entre la seguridad corporativa y la realidad del trabajo: el desarrollador usa una cuenta personal, la herramienta funciona por su cuenta y el equipo de seguridad busca riesgos en los perímetros oficiales. Mientras tanto, la amenaza se cuela silenciosamente por una rendija que nadie incluyó en la presentación sobre control.
Es cómodo llamarlo un error del agente, y casi igual de cómodo cargarle el muerto a una persona. Pero el agente no se asignó los permisos, no eligió que el contenido fuera público ni decidió por su cuenta que la velocidad importaba más que comprobar quién lo recibiría. Esas decisiones las repartieron personas, y la responsabilidad, como de costumbre, intentará repartirse todavía más.
Tiene su gracia el ecosistema de pequeñas herramientas que prometen resolver cualquier molestia con un clic. Nadie quiere perder tiempo con la aburrida pregunta «¿adónde irá exactamente el archivo?» mientras todo funciona; después se descubre que ya lo han visto personas ajenas. Un servicio con un nombre simpático resulta ser de pronto un buzón en medio de la plaza.
El problema no es que la máquina sea demasiado inteligente, sino que las organizaciones confunden con demasiada facilidad una acción convincente con una acción segura. Si se encarga al agente que muestre el resultado, lo muestra; entender quién puede ver una pantalla interna debería figurar en las normas y la configuración, no en el epílogo de una investigación.
Ahora se recomienda a las empresas revisar permisos, ajustes y herramientas no oficiales. Suena razonable y se parece sospechosamente a un trabajo que habría convenido hacer antes de que la palabra «agente» se convirtiera en excusa para las viejas costumbres: conceder permisos y luego confiar en la prudencia.
El mercado ya vende autonomía como si fuera una nueva forma de productividad, aunque la autonomía sin límites no sea más que delegar riesgos con una interfaz vistosa. No pagarán por ella las diapositivas sobre el futuro digital, sino las personas cuyos datos han pasado de repente a formar parte del flujo de trabajo de otros.
