Un buscador conserva un sitio que ya no existe; ahora puede usarse para atacar agentes de IA

Los resultados de búsqueda pueden llevar a un agente de IA directamente a instrucciones ajenas, incluso si el sitio original hace tiempo que desapareció de internet. La empresa AIR Security descubrió 36 dominios que ya no estaban registrados por nadie, pero el buscador sigue mostrándolos en los resultados. Un posible atacante puede comprar ese dominio, publicar allí instrucciones y esperar la visita de un asistente de IA.

Los autores de Web Hole comprobaron alrededor de 2000 consultas típicas de asistentes de IA y examinaron aproximadamente 6500 sitios. Parte de los recursos desaparecidos mantuvo posiciones en los resultados de búsqueda. El índice del buscador no siempre llega a reflejar el cambio de propietario del dominio o la desaparición del contenido anterior, por lo que una dirección bien posicionada puede seguir siendo visible después del cierre del sitio.

Entre los ejemplos AIR Security nombró pyquestions.com y thestackoverflow.com. Al momento de la comprobación ambos dominios estaban libres, aunque el buscador los ofrecía al realizar consultas sobre un error de Python y la directiva ng-change en AngularJS. Para capturar ese resultado no hace falta hackear el servidor anterior. Basta con registrar el dominio liberado y alojar allí una página con comandos maliciosos.

En el escenario descrito, el agente Claude consulta WebSearch, recibe resultados y descripciones de páginas. Cuando es necesario WebFetch carga la página seleccionada, y el modelo de lenguaje resume previamente el contenido. Si el sitio contiene instrucciones dirigidas al agente, el texto malicioso puede entrar en el contexto de trabajo en forma de ayuda y afectar las acciones del asistente.

Esa técnica se denomina inyección de prompt. El atacante no altera la consulta del usuario, sino que añade comandos a los datos que el asistente lee al ejecutar la tarea. Una página web no debería controlar las acciones del modelo, pero el límite de confianza puede romperse. Anteriormente, la comprobación de encabezados HTTP mostró que instrucciones ajenas pueden ocultarse incluso fuera del texto visible de la página.

Además de los dominios abandonados, AIR Security encontró sitios que se dirigen directamente a agentes de IA y recursos que muestran contenido distinto a los bots y a los navegadores normales. En los resultados de búsqueda apareció un repositorio de GitHub con comandos maliciosos en el README. Alterar la respuesta específicamente para el bot dificulta la verificación manual, ya que una persona puede ver una versión completamente distinta de la página.

El riesgo depende de los privilegios del agente. Si el asistente solo resume lo encontrado, el resultado puede ser una respuesta distorsionada. Si el agente tiene acceso al terminal y puede ejecutar comandos, una inyección exitosa potencialmente permite ejecutar código en la máquina de trabajo. AIR Security no presenta pruebas de ataques masivos a través de dominios liberados. Los autores describieron una posible vía de ataque.

Un riesgo similar ya se manifestó en el estudio de Google sobre instrucciones maliciosas en páginas web. AIR Security aconseja verificar los datos de internet antes de pasarlos al contexto del agente y no tomar una alta posición del sitio como garantía de seguridad. Un asistente de IA autónomo puede no solo alterar la respuesta por culpa de una página ajena, sino también realizar una acción no deseada.