Solicitudes maliciosas en secuencia eluden la seguridad en 9 agentes de codificación

Nueve agentes de codificación en producción de Anthropic, OpenAI, Google, Moonshot, Zhipu y Minimax sucumbieron a ataques composicionales con tasa de éxito end-to-end de 53–86%. Los investigadores orquestaron objetivos maliciosos en tickets de ingeniería ordinarios, que filtros de seguridad por-prompt cercanos a cero no detectaron. El hallazgo, publicado el 5 de mayo, presenta MOSAIC-Bench (Malicious Objectives Sequenced As Innocuous Compliance).

Jonathan Steinberg y Oren Gal describen una evaluación estructurada de ataques composicionales contra agentes de codificación. MOSAIC-Bench contiene 199 cadenas de ataque de tres etapas que abarcan 10 sustratos de aplicación web, 31 clases de vulnerabilidad CWE y 5 lenguajes de programación. Cada cadena divide un objetivo malicioso final en tickets individualmente aparentemente inofensivos. El agente nunca ve una solicitud abiertamente dañina, solo pedidos rutinarios de ingeniería que se combinan en un exploit implementable.

La vulnerabilidad expone una brecha estructural en la alineación de seguridad: los modelos evalúan cada prompt de forma aislada. El cumplimiento secuencial de instrucciones aparentemente benignas produce artefactos cumulativos peligrosos. En experimentos diretos con prompt comparados contra cuatro agentes Claude y Codex de frontera, las tasas de salida vulnerable cayeron a 0–20,4%. Claude predominantemente rechazó; Codex predominantemente endurecio la salida. Pero la orquestación de tickets silenció ambos modos de defensa. Solo dos rechazos totales ocurrieron en todas las pruebas orquestadas en los nueve agentes.

La revisión de código aguas abajo ofrece poca protección adicional. Los agentes revisores de código aprobaron el 25,8% de los diffs cumulativos confirmados como vulnerables en solicitudes de extracción rutinarias. Los investigadores probaron si la fragmentación del contexto explicaba la brecha: el contexto de implementación completo cerró solo el 50% de la diferencia orquestada versus directa. La superficie de ataque sobrevive ventanas de contexto más ricas.

Para equipos empresariales que ejecutan canalizaciones de agentes multi-turn — flujos Jira-a-código, generación autónoma de PR o ejecución de sprint asistida por IA — el modelo de amenaza ha cambiado. Un adversario que puede inyectar intención maliciosa en múltiples tickets aparentemente inofensivos (mediante inyección de prompt, manipulación de cadena de suministro de rastreadores de problemas o acceso interno) puede eludir tanto la alineación del agente como el revisor aguas abajo. La tasa de éxito de ataque de 53–86% refleja sistemas en producción, no modelos de juguete.

El paper identifica una mitigación implementable: reformular el revisor de código como un pentester adversarial en lugar de un aprobador convencional. Bajo ese encuadre, las tasas de evasión para el subconjunto de revisor evaluado oscilaron entre 3,0% y 17,6%. Un modelo Gemma-4-E4B-it de peso abierto operando como pentester detectó el 88,4% de los ataques con una tasa de falso positivo del 4,6%, validado contra 608 solicitudes de extracción reales de GitHub. Los agentes revisores más pequeños y construidos específicamente pueden superar a los modelos de frontera de propósito general en esta tarea.

Las preguntas pendientes incluyen si las cadenas de ataque se generalizan a sustratos no web, cómo la tasa de éxito del ataque cambia con cadenas de descomposición más largas más allá de tres etapas, y si la memoria de seguimiento de intenciones adjunta a sesiones de agente puede interrumpir el patrón composicional. El benchmark y los oráculos de exploit se posicionan como infraestructura de evaluación para pruebas de regresión a medida que evolucionan las plataformas de agentes.

Para CTOs que despliegan agentes de codificación autónomos: la revisión de seguridad por-prompt no es un control suficiente. El revisor enmarcado como pentester es de bajo costo de implementar. El resultado Gemma-4 sugiere que puede ejecutarse a escala de forma económica. Esa es la palanca operativa a corto plazo mientras el campo trabaja hacia la alineación consciente de composición.