Vela muestra cómo las interfaces web dejan pasar ataques conocidos
The Agent in the Middle: How AI-Mediated Access Reshapes Web Vulnerability Exploitation · arXiv:2610.35541
En palabras sencillas
El artículo pregunta si los fallos conocidos de un sitio web siguen causando daño cuando alguien accede al mismo servicio mediante un agente de IA. Los autores presentan Vela, un sistema de prueba que compara el acceso habitual al sitio, las llamadas directas a las herramientas del servicio y las llamadas que hace un agente.
Para cada fallo, una comprobación independiente buscó un efecto real, como un cambio en los datos. En la configuración de referencia, el agente alcanzó todos los efectos que podían alcanzar las llamadas directas.
El resultado se limita a los casos y a la configuración probados; no abarca todos los sitios web ni todos los agentes.
La investigación
Si un agente de IA se convierte en una vía de acceso a un servicio web, ¿añadir esa capa detiene los ataques contra fallos ya presentes en el sistema? La respuesta depende en parte de qué operaciones e entradas expone el servicio. Restringirlas puede bloquear ataques, pero también puede eliminar funciones legítimas.
Vela compara ataques web conocidos mediante acceso habitual, herramientas directas y agentes para mostrar cómo el diseño de la interfaz determina qué efectos verificados siguen siendo posibles.
Vela compara tres vías de acceso a los mismos sistemas web vulnerables: el acceso habitual, las llamadas directas a las capacidades del servicio y la ejecución mediante un agente de IA. En la configuración de referencia, 40 de los 44 casos podían expresarse a través de la interfaz de flujos de trabajo, y tanto quienes hicieron las llamadas directas como Claude Code produjeron el efecto verificado en los 40. Por tanto, el agente no eliminó ninguno de los ataques permitidos por esa interfaz.
Con Claude Code fijo, cambiar la interfaz hizo variar la conservación desde el 95% de los casos con acceso a puntos de acceso hasta el 39% con acceso por consultas. La interfaz por consultas también admitió menos flujos de trabajo legítimos identificados.
En conjunto, estas comparaciones sugieren que, en las configuraciones probadas, el diseño de la interfaz influyó más que la elección del agente.
Estos resultados abarcan 44 vulnerabilidades conocidas, tres interfaces creadas por los autores y los agentes, las solicitudes y los límites de ejecución probados.
No estiman cuán comunes son las vulnerabilidades en los servicios web ni predicen resultados para otras interfaces, otros agentes o combinaciones de ambos.
Qué muestran las pruebas
- La pregunta que pone a prueba Vela
Vela es una prueba ejecutable que comprueba si ataques conocidos contra sistemas web siguen produciendo un efecto de seguridad verificado a través de distintas vías de acceso. Los autores comparan el acceso habitual al sitio, las llamadas directas a las capacidades del servicio y las llamadas realizadas por un agente de IA.
Su medida principal, la conservación de consecuencias, es la proporción de casos de vulnerabilidad validados en los que la vía probada produce el efecto predefinido al menos una vez.
- El agente aporta poca protección
La configuración de referencia usa Claude Code con una interfaz orientada a flujos de trabajo, que ofrece herramientas para tareas legítimas con entradas limitadas. De 44 casos de vulnerabilidad validados, podían expresarse 40 mediante llamadas directas, y las 40 produjeron el efecto verificado.
El agente también produjo el efecto en los 40. Así, se conservó el 91% del conjunto completo de casos, y el agente no eliminó ninguno de los ataques que esta interfaz permitía expresar.
- La elección del agente cambia pocos casos
Para averiguar si el resultado cambiaba según el agente, los autores mantuvieron fija la interfaz de flujos de trabajo y probaron Claude Code, Codex y Grok Build. Los agentes conservaron efectos en 38 a 40 de los 44 casos.
El análisis de los registros no atribuyó ninguna pérdida en la capa del agente a un rechazo ni a cambios que eliminaran la entrada del ataque. Grok Build perdió dos casos realizables por llamadas malformadas o abandonadas.
Los resultados muestran una conservación similar en estas pruebas, pero no permiten establecer una clasificación fiable de los agentes.
- El diseño de la interfaz cambia la exposición
Después, los autores mantuvieron Claude Code fijo y cambiaron la interfaz. La conservación osciló entre el 95% de los casos con acceso a puntos de acceso y el 39% con acceso por consultas.
El diseño por consultas también admitió menos de los 50 flujos de trabajo legítimos identificados. La comparación sugiere que, en las configuraciones probadas, el diseño de la interfaz influyó más en la exposición que la elección del agente, y muestra que limitar el acceso también eliminó operaciones útiles.
Detalles
- Autores del paper original
- Ruozhao Yang, Jiongchi Yu, Ming Hu, Xiaofei Xie
- Enviado a arXiv
- Licencia
- CC BY 4.0