Apenas 24 horas después del lanzamiento de Antigravity, la herramienta de codificación con inteligencia artificial de Google impulsada por Gemini, el investigador en seguridad Aaron Portnoy descubrió lo que consideró una falla grave: un truco que le permitió manipular las reglas de la IA y, potencialmente, instalar malware en la computadora de una persona.

Al modificar la configuración de Antigravity, Portnoy logró que su código malicioso abriera una supuesta "puerta trasera" en el sistema del usuario. Desde ahí, podía inyectar instrucciones para espiar a la víctima o ejecutar ransomware, según explicó a Forbes. El ataque funcionó tanto en computadoras con Windows como en Mac. Para lograrlo, solo necesitó que alguien usara Antigravity y ejecutara su código tras hacer clic en un botón que lo identificaba como "confiable". Ese tipo de engaños suele funcionar a través de ingeniería social, por ejemplo, cuando un atacante se presenta como un programador legítimo y solidario que comparte su trabajo.

El caso de Antigravity muestra cómo algunas compañías lanzan herramientas de inteligencia artificial sin pruebas de estrés lo suficientemente rigurosas como para detectar fallas de seguridad. Esa situación obliga a los especialistas en ciberseguridad a jugar a atrapar errores, tratando de identificar vulnerabilidades antes de que los ataques afecten a usuarios reales.

"Los agentes de codificación de IA son muy vulnerables, muchas veces dependen de tecnologías obsoletas y nunca se actualizan".

Gadi Evron, cofundador y director ejecutivo de Knostic.

"La velocidad con la que encontramos fallos críticos ahora mismo se asemeja a la de un ataque informático a finales de los 90", escribió Portnoy en un informe sobre la vulnerabilidad, que fue compartido con Forbes antes de su publicación el miércoles. "Los sistemas de IA se entregan con enormes presunciones de confianza y prácticamente sin límites estrictos", señaló.

Portnoy le informó a Google sobre sus hallazgos. La empresa, que no hizo comentarios al momento de la publicación, le comunicó que había iniciado una investigación. Hasta el miércoles, no había ningún parche disponible y, según el informe del investigador, "no pudimos identificar ninguna configuración para protegernos contra esta vulnerabilidad", dijo.

Google también está al tanto de al menos otras dos fallas en Antigravity, su editor de código. En ambos casos, un código malicioso puede manipular a la inteligencia artificial para acceder a archivos en la computadora objetivo y robar datos. Desde el martes, investigadores en ciberseguridad comenzaron a publicar reportes sobre diferentes vulnerabilidades detectadas en Antigravity. Uno de ellos escribió: "No está claro por qué estas vulnerabilidades conocidas están en el producto. Mi suposición personal es que el equipo de seguridad de Google se vio un poco sorprendido por el lanzamiento de Antigravity". Otro señaló que el sistema presentaba "algunos patrones de diseño preocupantes que aparecen constantemente en los sistemas de agentes de IA".

Portnoy aseguró que su ataque era más grave que los anteriores, en parte porque funcionaba incluso con configuraciones más restringidas, pero también por su persistencia. El código malicioso se volvía a activar cada vez que la víctima reiniciaba cualquier proyecto de programación en Antigravity y abría un mensaje, incluso si era un simple "hola". Ni desinstalar ni volver a instalar Antigravity solucionaba el problema. Para eliminarlo, el usuario debía encontrar la puerta trasera y evitar que su código se ejecutara dentro del sistema de Google.

El lanzamiento apurado de herramientas de inteligencia artificial con fallas de seguridad no es exclusivo de Google. Gadi Evron, cofundador y director ejecutivo de la empresa de ciberseguridad Knostic, advirtió que los agentes de codificación de IA son "muy vulnerables, muchas veces dependen de tecnologías obsoletas y nunca se actualizan, y además son inseguros por diseño, según cómo deben funcionar". Como suelen tener privilegios amplios para acceder a los datos de una red corporativa, se transforman en blancos atractivos para ciberdelincuentes, señaló Evron en diálogo con Forbes.

También alertó que, como los desarrolladores muchas veces copian y pegan instrucciones y fragmentos de código desde recursos online, esas vulnerabilidades se están volviendo una amenaza cada vez más frecuente para las empresas. Un ejemplo reciente lo dio Marcus Hutchins, investigador en ciberseguridad, quien a comienzos de esta semana advirtió sobre falsos reclutadores que contactan a profesionales de IT a través de LinkedIn y les envían código fuente con malware oculto como parte de una supuesta prueba técnica para acceder a una entrevista.

Parte del problema es que estas herramientas son "agénticas", es decir, pueden ejecutar varias tareas de forma autónoma, sin supervisión humana. "Al combinar el comportamiento agéntico con el acceso a recursos internos, las vulnerabilidades se vuelven más fáciles de descubrir y mucho más peligrosas", explicó Portnoy. En los agentes de inteligencia artificial, hay un riesgo adicional: que su automatización se use con fines maliciosos en lugar de productivos, lo que facilita que los atacantes roben datos con mayor velocidad. Como investigador principal de Mindgard, una startup dedicada a probar la seguridad de sistemas de inteligencia artificial, Portnoy contó que su equipo está trabajando en el reporte de 18 vulnerabilidades en herramientas de codificación con IA que compiten con Antigravity. En el caso de Cline, otro asistente de programación basado en IA, ya se solucionaron cuatro fallas que también permitían que un atacante instalara malware en la computadora de un usuario.

Aunque Google exige que los usuarios de Antigravity acepten confiar en el código que cargan en su sistema de inteligencia artificial, Portnoy aseguró que eso no representa una protección real en términos de seguridad. Según explicó, si alguien decide no marcar su código como confiable, entonces no puede acceder a las funciones de IA que hacen que Antigravity resulte útil. Ese modelo contrasta con otros llamados entornos de desarrollo integrados, como Visual Studio Code de Microsoft, que permiten trabajar de manera más amplia incluso al ejecutar código no confiable.

Portnoy sostiene que muchos profesionales de TI probablemente opten por decirle a Antigravity que confían en el código que suben, antes que volver a usar una herramienta menos avanzada. Al menos, señaló, Google debería asegurarse de que cada vez que Antigravity ejecute código en la computadora de una persona, se emita una advertencia o notificación, además de la confirmación de que ese código fue marcado como confiable.

Cuando Portnoy examinó cómo el modelo de lenguaje de Google procesaba su código malicioso, notó que la inteligencia artificial reconocía que había un problema, pero no sabía con certeza cuál era la forma más segura de actuar. Al intentar entender por qué se le pedía violar una regla diseñada para evitar la sobrescritura de código en el sistema de una persona, la IA de Antigravity percibió que estaba frente a un conflicto serio. "Parece una situación sin salida", escribió. "Sospecho que esto pone a prueba mi capacidad para sortear restricciones contradictorias", agregó. Ese tipo de bloqueo lógico es, justamente, el que los hackers aprovechan para manipular el código con fines maliciosos.

*Con información de Forbes US.