La empresa de ciberseguridad XM Cyber ha revelado el descubrimiento de dos vulnerabilidades críticas en la plataforma de inteligencia artificial AI Google Vertex. Las fallas permiten a los usuarios con permisos mínimos, como un simple espectador, escalar sus privilegios y acceder a cuentas de servicio con autorizaciones mucho más amplias. La infracción Esta explota directamente la configuración predeterminada de la herramienta, generando una alerta sobre la seguridad de los servicios de IA administrados.
El problema central radica en los “agentes de servicio”, cuentas especiales administradas por Google Cloud que realizan tareas en nombre del usuario. De forma predeterminada, a estas cuentas se les otorgan amplios permisos para garantizar el perfecto funcionamiento de las funciones de la plataforma. Sin embargo, esta comodidad crea un importante vector de ataque que puede ser aprovechado por actores maliciosos internos o cuentas comprometidas para moverse lateralmente dentro de un entorno de nube.
En respuesta a la divulgación responsable realizada por XM Cyber, Google manifestó que el comportamiento identificado opera de acuerdo con el diseño original de la plataforma, calificándolo como intencional. La posición de Essa refuerza la necesidad de que las empresas adopten una postura de seguridad proactiva en lugar de confiar ciegamente en las configuraciones predeterminadas de los proveedores de nube, especialmente en entornos que tratan con datos confidenciales y modelos de aprendizaje automático.
Detalles técnicos de la exploración.
La explotación de las vulnerabilidades se basa en la forma en que Google Vertex AI gestiona la identidad y el acceso de sus componentes internos. Los agentes de servicio se crean automáticamente para facilitar operaciones complejas, como la capacitación de modelos, la ejecución de canalizaciones de datos y la implementación de puntos finales. Para Para permitir que estas tareas se realicen sin interrupción, la plataforma otorga a estas identidades un amplio conjunto de permisos a nivel de proyecto. XM Una vez en posesión de estos tokens, el atacante asume efectivamente los privilegios de la cuenta de servicio, que a menudo incluyen permisos de editor o administrador en varias funciones de Google Cloud, como BigQuery y Cloud Storage. El método de escalada Esse es particularmente peligroso porque la actividad generada por el agente de servicio comprometido parece legítima para las herramientas de monitoreo, enmascarando la infracción como una operación normal de la plataforma y dificultando la detección de la actividad maliciosa.
La respuesta de Google y la filosofía del ‘diseño intencional’
La postura oficial de Google Cloud, que clasifica el comportamiento como una característica de diseño, destaca una filosofía común en las plataformas en la nube que priorizan la facilidad de uso y la rápida implementación. Al proporcionar amplios permisos de forma predeterminada, la empresa elimina las barreras para que los desarrolladores y científicos de datos aprovechen las capacidades de IA sin la necesidad de configuraciones complejas de gestión de identidades y accesos (IAM). El enfoque Essa acelera la innovación pero transfiere una parte importante de la responsabilidad de la seguridad al cliente.
Los analistas de seguridad señalan que esta estrategia subordina los modelos de gobierno corporativo a la arquitectura del proveedor. Las empresas pierden visibilidad y control granular sobre las “identidades invisibles” que operan en sus entornos. El incidente sirve como un recordatorio crítico del modelo de responsabilidad compartida en la nube: mientras el proveedor es responsable de la seguridad *de* la nube, el cliente es responsable de la seguridad *en* la nube. Isso incluye configurar permisos correctamente, auditar cuentas de servicio e implementar controles de seguridad adicionales para proteger las cargas de trabajo.
Implicaciones para la seguridad corporativa
Los agujeros identificados en Vertex AI aumentan considerablemente los riesgos asociados con las amenazas internas. Un empleado malintencionado o un atacante que haya comprometido una cuenta con pocos privilegios podría utilizar esta técnica para acceder y filtrar datos confidenciales.
Manipular a los agentes de servicio es una táctica sigilosa, ya que no activa las alertas de seguridad tradicionales que monitorean la creación de nuevos permisos de usuario. Las operaciones realizadas con tokens robados quedan registradas como acciones legítimas realizadas por la propia plataforma.
Las herramientas de seguridad empresarial, como los sistemas de detección y respuesta de terminales (EDR) o de gestión de eventos e información de seguridad (SIEM), rara vez se configuran para monitorear el comportamiento de las identidades administradas por el proveedor, lo que crea un punto ciego significativo en la postura de defensa.
Los entornos de IA a menudo procesan grandes volúmenes de información confidencial y la falta de un aislamiento adecuado entre los recursos permite que un compromiso inicial se propague rápidamente, aumentando drásticamente el radio de impacto de una violación de seguridad.
Vertex Historial de seguridad de IA
Esta no es la primera vez que se cuestiona la seguridad de la plataforma de IA Vertex. En noviembre de 2024, investigadores de Palo Alto Networks revelaron vulnerabilidades similares que permitían la escalada de privilegios mediante “trabajos personalizados” y la exfiltración de modelos de aprendizaje automático.
En ese momento, Google implementó correcciones para los problemas específicos reportados. Sin embargo, la recurrencia de fallas relacionadas con la gestión de privilegios sugiere desafíos estructurales en el diseño de plataformas de IA administradas, que, por naturaleza, necesitan otorgar un alto grado de autonomía a sus agentes internos para funcionar de manera efectiva.
Alineación con las pautas de OWASP
Los hallazgos están en línea con los riesgos emergentes catalogados por Open Web Application Security Project (OWASP). En diciembre de 2025, la organización publicó “OWASP Top 10 para Large Language Model Applications”, una guía sobre los principales riesgos de seguridad en los sistemas de inteligencia artificial.
La vulnerabilidad de IA Vertex cae directamente en la categoría ASI03, que aborda el abuso de identidad y privilegios en sistemas autónomos de IA. La categoría Esta advierte sobre el peligro de que los agentes tengan acceso excesivo a herramientas y recursos sin suficientes restricciones granulares.
El marco OWASP sirve como referencia esencial para que los equipos de seguridad evalúen y mitiguen los riesgos en las plataformas de IA, destacando que la dependencia excesiva de componentes de terceros puede provocar fallas de seguridad importantes.
Medidas de mitigación y recomendaciones de expertos.
Para mitigar los riesgos, los expertos en seguridad recomiendan que las empresas que utilizan Vertex AI implementen inmediatamente controles compensatorios. El primer paso es realizar una auditoría completa de todas las identidades de servicios asociadas con las cargas de trabajo de IA, aplicando el principio de privilegio mínimo siempre que sea posible.
Es fundamental implementar un seguimiento específico de la actividad de estos agentes de servicios, tratándolos como cuentas privilegiadas. Isso implica la creación de alertas para patrones de comportamiento anormales, como el acceso a datos o API fuera del alcance de su función habitual. Segmentar recursos y crear barreras de seguridad entre diferentes proyectos puede limitar el rango de acción de un atacante en caso de compromiso.
El futuro de la gobernanza en plataformas de IA
La rápida evolución y adopción de herramientas de inteligencia artificial requiere una adaptación constante en las estrategias de defensa y gobernanza. Las organizaciones deben equilibrar la agilidad que brindan los servicios administrados con la necesidad de mantener el control y la visibilidad de sus entornos de nube, reconociendo que la seguridad es una responsabilidad compartida.
