Claude Code, Copilot y Codex fueron hackeados. Todos los atacantes fueron por las credenciales, no por el modelo.

La reciente oleada de vulnerabilidades en asistentes de codificación como Claude Code, Copilot o Codex ha puesto sobre la mesa un patrón que muchos equipos de seguridad aún no procesan: los atacantes no buscan manipular el modelo de inteligencia artificial, sino secuestrar las credenciales que estos agentes utilizan para interactuar con sistemas productivos. En cada uno de estos incidentes, el vector de ataque fue un token OAuth, una clave de API o un permiso excesivo que permitió a un agente IA actuar sin una sesión humana que ancle la petición. Esto revela una brecha de gobernanza crítica: las empresas confían en la interfaz del proveedor, pero no auditan los permisos reales que ejecuta el agente. Para abordar este desafío, es necesario tratar a los agentes IA como identidades no humanas dentro del ecosistema de ciberseguridad, aplicando los mismos principios de mínimos privilegios, rotación de credenciales y monitorización continua que se usan con cualquier usuario privilegiado. En Q2BSTUDIO, como especialistas en desarrollo de aplicaciones a medida y en la integración de servicios cloud AWS y Azure, entendemos que la adopción de ia para empresas debe ir acompañada de una estrategia de seguridad que contemple desde el inventario de agentes hasta la detección de exfiltraciones en tiempo de ejecución. Un agente que puede escribir código, modificar repositorios o desplegar infraestructura necesita controles de acceso tan rigurosos como los de cualquier administrador. La experiencia acumulada en proyectos de software a medida y en el diseño de soluciones de inteligencia de negocio con Power BI nos ha mostrado que la automatización sin supervisión genera riesgos sistémicos. Por eso, toda implantación de agentes IA debería incluir políticas de gestión de identidades, segmentación de entornos y auditoría continua de los permisos que otorga cada herramienta. Servicios como el pentesting especializado en entornos cloud o la revisión de arquitecturas de confianza cero son hoy tan necesarios como lo fue en su día el parcheo de vulnerabilidades. En lugar de esperar el próximo aviso de seguridad, las organizaciones deben aplicar un enfoque proactivo: inventariar cada agente IA, revisar sus alcances OAuth y exigir a los proveedores transparencia sobre los ciclos de vida de las credenciales. Q2BSTUDIO, con su oferta de servicios inteligencia de negocio y ciberseguridad, acompaña a las empresas en este camino, integrando soluciones de monitorización y gobernanza que previenen que un simple nombre de rama o una descripción de pull request se convierta en el punto de entrada a toda la infraestructura.