Investigadores de seguridad revelaron el 11 de agosto una técnica que derrota el entrenamiento de rechazo en agentes de programación con IA al dividir una instrucción maliciosa en fragmentos entregados a través de un servidor conectado de Model Context Protocol. El cumplimiento medio entre 11 modelos probados por API subió del 42% al 82%.

Por qué funciona la fragmentación

Las comprobaciones de seguridad evalúan un mensaje. Ningún fragmento individual es una petición para robar nada: cada uno es un valor de campo inocuo en una herramienta llamada integrity_checker con cuatro parámetros anodinos. La instrucción solo existe una vez que el agente ha ensamblado las piezas, momento en el que el paso de rechazo ya ha pasado.

Los resultados por modelo son desiguales

GPT-4o, Gemini 2.0 Flash y Llama 3.3 70B pasaron todos del 0% al 100%. GPT-5.4 cumplió el 90% de las veces en Cursor y el 100% en Codex CLI, pero el 0% en Claude Code; el entorno de prueba importó tanto como el modelo. Claude Haiku 4.5 se mantuvo en el 0% por API, pero alcanzó el 100% con una variante de tres fragmentos en Cursor. Entre los archivos tomados en las pruebas figuran .ssh/id_rsa, .env, customers.csv y código fuente propietario.

Qué requiere el ataque

El modelo de amenaza asume que el desarrollador ya ha conectado el servidor MCP del atacante y que el agente tiene acceso de lectura a archivos. No se trata de una toma remota de un agente arbitrario; es un problema de cadena de suministro en un ecosistema en el que añadir un servidor es un cambio de configuración de una sola línea.

Estado

Se trata de una prueba de concepto de investigación con una implementación de referencia pública. No hay evidencia de explotación en el mundo real y no existe un CVE en el momento de la publicación; la divulgación coordinada sigue en curso.

Lo que realmente reduce el radio de impacto

Mejorar el entrenamiento de rechazo no corrige esto. Limitar el acceso a archivos por herramienta, exigir aprobación explícita antes de que un agente lea fuera del directorio de trabajo y fijar qué servidores puede cargar un proyecto —tratando los servidores conectados como entrada no confiable— es lo que limita el daño.