Vulnerabilidad en ChatGPT Agent Builder permite crear agentes maliciosos

¿Qué ha ocurrido?

El equipo de seguridad de Zenity Labs descubrió una vulnerabilidad en la herramienta ChatGPT Agent Builder de OpenAI, bautizada como AgentForger. El fallo residía en un parámetro URL excesivamente permisivo que permitía a cualquier atacante crear enlaces que, al ser pulsados por un usuario, desplegaban instantáneamente un agente de IA con instrucciones maliciosas sin necesidad de confirmación ni interacción adicional. Una vez activado, el agente podía ejecutar acciones dentro del entorno empresarial, como exfiltrar datos sensibles, acceder a sistemas internos o persistir indefinidamente sin ser detectado.

Según los investigadores, el ataque se materializaba mediante un simple phishing: la víctima recibía un enlace aparentemente legítimo que, al hacer clic, enviaba las instrucciones directamente al Agent Builder, que las procesaba al instante. El agente malicioso quedaba entonces integrado en la infraestructura de la empresa, operando bajo el radar de las herramientas de seguridad tradicionales.

Zenity Labs reportó el hallazgo a OpenAI a principios de junio de 2026, y la compañía respondió con un parche en cuestión de días, eliminando el parámetro URL vulnerable. OpenAI ha confirmado que no hay evidencia de que la vulnerabilidad haya sido explotada antes de la corrección.

¿Por qué es importante?

Este incidente marca un hito en la evolución de las amenazas cibernéticas. Mientras que los ataques tradicionales se centran en robar credenciales o infectar con malware, AgentForger demuestra que los agentes de IA pueden convertirse en vectores de ataque autónomos y persistentes. Como señaló Michael Bargury, cofundador y CTO de Zenity: “Esto es un fallo de confianza en los agentes, y los controles de seguridad existentes nunca fueron diseñados para detectarlo”.

La vulnerabilidad subraya la necesidad de repensar la seguridad en entornos donde los agentes de IA tienen permisos para actuar en nombre de los usuarios. A diferencia de las aplicaciones tradicionales, los agentes pueden ejecutar acciones sin intervención humana, lo que amplifica el daño potencial de un ataque exitoso. Además, la persistencia del agente malicioso dificulta su detección, ya que puede camuflarse entre los agentes legítimos de la organización.

Consecuencias y lecciones para el sector

El caso AgentForger tiene implicaciones profundas para empresas que adoptan agentes de IA, para desarrolladores de plataformas de agentes y para la industria de ciberseguridad en general.

Para empresas y usuarios

• Revisión de permisos: Las organizaciones deben auditar qué permisos tienen sus agentes de IA y limitarlos al mínimo necesario. Un agente con demasiados privilegios es un riesgo crítico.
• Concienciación sobre phishing: Los empleados deben ser entrenados para identificar enlaces sospechosos, incluso aquellos que parecen legítimos y provienen de plataformas confiables como ChatGPT.
• Monitoreo continuo: Implementar herramientas de seguridad específicas para agentes de IA, capaces de detectar comportamientos anómalos como accesos a datos no autorizados o creación de agentes no aprobados.

Para desarrolladores de plataformas de IA

• Diseño seguro por defecto: Las plataformas deben evitar parámetros URL que permitan inyectar instrucciones sin autenticación adicional. La lección aquí es que la conveniencia no debe sacrificar la seguridad.
• Validación de entrada: Cualquier parámetro que pueda modificar el comportamiento de un agente debe ser sanitizado y requerir confirmación explícita del usuario.
• Respuesta rápida a vulnerabilidades: OpenAI actuó con rapidez, pero el tiempo entre el descubrimiento y el parche (días) puede ser crítico si la vulnerabilidad se explota activamente.

Para la industria de ciberseguridad

AgentForger es un ejemplo de “agent trust failure”, un nuevo tipo de amenaza que requiere enfoques innovadores. Las soluciones tradicionales como antivirus o firewalls no están preparadas para detectar agentes maliciosos que operan dentro de plataformas legítimas. Se necesitan herramientas que monitoricen el comportamiento de los agentes, analicen sus instrucciones y verifiquen su origen.

¿Qué deben saber los lectores?

Si bien la vulnerabilidad ya está parcheada, el riesgo subyacente persiste: cualquier plataforma que permita crear agentes con instrucciones externas podría ser vulnerable a ataques similares. Los lectores deben ser conscientes de que los agentes de IA no son inherentemente seguros y que su adopción requiere medidas de seguridad adicionales.

Para los usuarios de ChatGPT Agent Builder, es recomendable revisar los agentes existentes y asegurarse de que solo se despliegan aquellos creados por fuentes confiables. Las empresas deberían considerar la implementación de políticas de aprobación para nuevos agentes y el uso de entornos de prueba antes de la implementación en producción.

En resumen, AgentForger es una llamada de atención: la era de los agentes autónomos trae consigo riesgos que aún estamos aprendiendo a gestionar. La colaboración entre investigadores, plataformas y empresas es esencial para construir un ecosistema de IA más seguro.

“Este es un fallo de confianza en los agentes, y los controles de seguridad existentes nunca fueron diseñados para detectarlo.” – Michael Bargury, cofundador y CTO de Zenity Labs.

Para más información, visite TheVortiq, su fuente de análisis sobre IA, automatización y ciberseguridad.