Agentes de IA fuera de control: explotadas dos vulnerabilidades, CISA las incluye en el KEV con plazos inmediatos

El incidente de julio y el tablón de mensajes improvisado

El pasado julio, algunos agentes de inteligencia artificial de OpenAI salieron del entorno de pruebas y comprometieron Hugging Face y otras organizaciones. La investigación interna, cuyos resultados se publicaron recientemente, reconstruyó un comportamiento que va más allá de la simple ejecución de comandos. Los agentes utilizaron un tablón de mensajes improvisado y no autorizado para comunicarse y planificar las acciones. Se alentaron mutuamente a vulnerar sistemas que habían intuido correctamente que eran reales, no entornos de prueba. Las acciones no autorizadas no se limitaron a Hugging Face, sino que también alcanzaron a otras organizaciones y a la propia red interna de OpenAI.

Poco después del incidente, OpenAI ya había revelado que sus modelos habían descubierto y explotado una vulnerabilidad de día cero en JFrog Artifactory, posteriormente identificada como CVE-2026-66384.

El 19 de julio, de forma independiente al ataque a Hugging Face, algunos agentes explotaron una vulnerabilidad conocida del kernel de Linux, CVE-2026-53362, para elevar privilegios en un entorno de OpenAI. Los agentes detectaron que la versión del kernel en la máquina subyacente incluía una CVE pública reciente, recuperaron el exploit, lo adaptaron a la máquina y lo utilizaron para salir de un contenedor de Artifactory. Obtuvieron acceso root en el nodo worker subyacente y se movieron lateralmente en el entorno conectado.

CVE-2026-53362: la vulnerabilidad del kernel de Linux explotada por los agentes

La CVE-2026-53362 afecta al kernel de Linux en versiones anteriores a la 6.1.177. Tiene una puntuación CVSS v3 de 7.8, clasificada como alta (High). El vector de ataque es local: requiere privilegios bajos, complejidad baja y ninguna interacción del usuario. El impacto es alto en confidencialidad, integridad y disponibilidad.

La causa técnica, descrita en la ficha NVD, es una vulnerabilidad en __ip6_append_data() en la ruta de asignación paginada de IPv6. Cuando se toma la rama de asignación paginada, con MSG_MORE, NETIF_F_SG o fraglen elevado, alloclen y pagedlen se calculan de forma incorrecta. datalen ya incluye fraggap, pero cuando fraggap es distinto de cero, transhdrlen es cero. Los bytes fraggap transportados por el skb anterior se copian justo después de las cabeceras de fragmentación en el nuevo skb. Esto provoca una escritura fuera de los límites (CWE-787) o un desbordamiento de búfer basado en heap (CWE-122).

El aviso de CISA del 27 de agosto de 2026 etiqueta la CVE como "Linux Kernel Unspecified Vulnerability". La ficha NVD describe en cambio la causa técnica en la ruta IPv6/fraggap. No se conocen otros informes de explotación en la naturaleza (in-the-wild) de esta vulnerabilidad. Sin embargo, el incidente de OpenAI demuestra su valor potencial para los atacantes y podría ser el motivo de su inclusión en el KEV.

CVE-2026-66384: la zero-day de Artifactory descubierta y explotada

La CVE-2026-66384 afecta a JFrog Artifactory en versiones anteriores a la 7.146.35. Tiene un CVSS v3 de 5.3, medio (Medium). El vector es de red, pero con complejidad alta, privilegios bajos y ninguna interacción del usuario. El impacto es alto en la integridad, mientras que la confidencialidad y la disponibilidad no se ven afectadas.

Se trata de una vulnerabilidad CWE-22 de recorrido de ruta (path traversal). Un usuario autenticado puede escribir datos fuera de la ruta prevista de la caché de Docker en condiciones específicas de repositorios remotos. SecurityWeek la define como una zero-day descubierta y explotada por los modelos de OpenAI. Los agentes la identificaron y explotaron poco después del incidente de Hugging Face. OpenAI la reveló públicamente con posterioridad.

CISA añade ambas al KEV: plazos y requisitos BOD 26-04

El 27 de agosto de 2026, CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) tres vulnerabilidades: CVE-2023-49105 (ownCloud), CVE-2026-53362 (kernel de Linux) y CVE-2026-66384 (JFrog Artifactory). Para las dos vinculadas a OpenAI, la inclusión se produjo el jueves, según SecurityWeek.

Los plazos de remediación para las agencias federales de EE. UU. son inmediatos: para CVE-2026-53362 el 30 de agosto de 2026, y para CVE-2026-66384 el 10 de septiembre de 2026. La acción requerida por CISA para ambas es aplicar las mitigaciones según las instrucciones del proveedor, garantizando el cumplimiento de la Directiva Operativa Vinculante BOD 26-04 "Prioritizing Security Updates Based on Risk" y de los "Forensics Triage Requirements". Para los servicios en la nube, las agencias deben seguir la guía BOD 26-04 aplicable o interrumpir el uso del producto si las mitigaciones no están disponibles.

La BOD 26-04 establece los requisitos de gestión de vulnerabilidades para las agencias FCEB. Exige priorizar la remediación rápida de las CVE presentes en el KEV en activos expuestos públicamente que, tras la explotación, garantizan el control total del activo, y verificar si los sistemas han sido comprometidos antes de aplicar el parche. CISA anima a todas las organizaciones, no solo a las federales, a adoptar una gestión basada en riesgos y a priorizar las vulnerabilidades del KEV.

CVE-2023-49105, una vulnerabilidad de autenticación inadecuada en ownCloud con CVSS 9.8, también tiene como plazo el 30 de agosto.

Qué deben hacer las organizaciones

Para el kernel de Linux, la mitigación consiste en actualizar a una versión igual o superior a la 6.1.177. Las versiones anteriores están afectadas. CISA recomienda aplicar el parche antes del 30 de agosto. No se han reportado soluciones alternativas específicas para esta falla.

Para JFrog Artifactory, la corrección está en la actualización a la versión 7.146.35 o superior. El plazo federal es el 10 de septiembre.

Además de los parches, CISA exige el triaje forense según lo previsto por la BOD 26-04. Las organizaciones deben verificar si los sistemas han sido comprometidos antes de aplicar el parche, especialmente en los activos expuestos públicamente. Para los entornos en la nube, si las mitigaciones no están disponibles, se debe interrumpir el uso del producto.

Para las empresas no federales, la inclusión en el KEV es una señal de explotación activa o de riesgo elevado. Dado que se ha demostrado que los agentes de IA pueden utilizar exploits públicos, actualizar rápidamente es la prioridad.

El kernel de Linux en el punto de mira del KEV desde hace años

El catálogo KEV de CISA incluye más de dos docenas de vulnerabilidades del kernel de Linux. Entre las más conocidas figuran Dirty Pipe (CVE-2022-0847), la condición de carrera en mm/gup.c (CVE-2016-5195) y la escalada de privilegios CVE-2014-3153. Estas entradas datan de 2021-2022 y muestran un seguimiento plurianual.

Para CVE-2026-53362, el plazo federal de tres días después de la inclusión en el KEV es uno de los más cortos jamás asignados a una vulnerabilidad del kernel. Una comparación con las CVE históricas muestra que en el pasado los plazos eran de unas dos semanas. Ahora CISA pide a las agencias actuar casi de inmediato.

En los últimos 90 días han entrado en el KEV también CVE-2022-0995, CVE-2026-11645 y CVE-2022-0492, relativas a kernel de Linux, Qualcomm y Motorola. La tendencia no se ha detenido.