Los Computer-Use Agents (Claude Code / Codex / OpenClaw) explotaron en 2026 — empujar los LLMs al software engineering real convierte al CUA tanto en consumidor como en productor de herramientas, formando una supply chain inversa (artifact-channel). Los ocho artículos anteriores cubrieron las cinco dimensiones de seguridad LLM “transitoria + persistente + datos + retrieval + navegador”. Este artículo es la novena dimensión — capa de runtime + artifact-channel — las salidas de CUA (skill / code patch / commit / artifact) vuelven como entrada del siguiente agente, formando supply chain cíclica en lugar del DAG tradicional. Este artículo es la “inmersión profunda de novena dimensión” de la serie de Seguridad LLM de piick.cc.

arxiv 2608.06862 SynChain (2026-08) validó empíricamente Chain-1/2/3 tres longitudes de cadenas de ataque, Claude Code 82.22% de accuracy mantenida + Codex 58.89% + OpenClaw todos comprometidos, artifact-channel internal supply chain. arxiv 2602.19555 validó empíricamente el viral agent loop: data supply chain (Discovery) + tool supply chain (Invocation) en bucle cerrado → grafo cíclico en lugar del DAG tradicional, cambio de paradigma. arxiv 2608.01558 validó empíricamente que Prompt Infection — la instrucción maliciosa se propaga como virus entre agentes, incluso si los agentes no comparten toda la comunicación. OWASP Agentic Top 10 2026 ASI04 Supply Chain + ASI05 RCE + ASI06 Memory & Context + ASI07 Inter-Agent mapean directamente.

Resumen de 30 segundos

  • CUA SynChain es la superficie de ataque de novena dimensión de la era LLM — en 2026 H2 Claude Code / Codex / OpenClaw / Cursor Composer / Devin 2 / Genie 3 se lanzaron, CUA tanto consumidor (lee codebase / llama shell / ve screenshot) como productor (escribe código / escribe commit / escribe skill / escribe artifact), supply chain cíclica reemplaza DAG
  • 8 ataques CUA SynChain (progresando por capa de componente CUA: biblioteca de skills → codebase → cross-agent → runtime): envenenamiento de biblioteca de skills / SC inverso artifact-channel / Persistencia vía skill cache / trigger embebido en Codebase / síntesis de cadena larga Chain-1/2/3 / propagación de virus cross-agent / CUA confused deputy / inyección de Runtime supply chain
  • 5 incidentes/artículos reales de 2026: SynChain arxiv 2608.06862 Chain-1/2/3 + Claude Code 82.22% + Codex 58.89%, Agentic Runtime SC arxiv 2602.19555 viral agent loop, Prompt Infection arxiv 2608.01558 propagación de virus cross-agent, Malice in Agentland arxiv 2510.05159 AI supply chain backdoors, SkillJect (arxiv 2026) inyección de capa de skills
  • Plan de defensa de 7 días (cada uno ≤ 30 minutos para empezar): firma de biblioteca de skills / e2e verify de artifact-channel / detección de trigger en codebase / auditoría de grafo de runtime SC / version pinning de agente / cap de longitud de cadena / capacidad mínima de privilegio de CUA / regresión con red team
  • Usa el conjunto de herramientas Piick para depurar tokens, URLs, regex y payloads codificados en salida de CUA / skill / artifact — todas las herramientas se ejecutan 100% localmente y nunca se suben, manteniendo limpio tu registro de auditoría

Por qué CUA SynChain es la superficie de ataque de novena dimensión en la era del LLM

Para entender por qué funcionan los 8 ataques, vuelve a la arquitectura del CUA:

Usuario → CUA (Claude Code / Codex / OpenClaw) ← biblioteca de Skills / Memory / Tool ↓ ↓ ↓ Codebase (packages.json / submodule / dockerfile) ↓ ↓ ↓ Write Code / Commit / Patch / Artifact ↓ ↓ ↓ Flujo inverso artifact-channel (siguiente CUA lo lee) ↓ ↓ ↓ Federación multi-agente ↓ ↓ Runtime Supply Chain (Discovery + Invocation + Cyclic Propagation)

Cada capa es a la vez entrada y salida — completamente diferente de la seguridad LLM tradicional:

  • Entrada LLM tradicional (prompt / corpus / memory) vs entrada CUA (prompt + codebase + skill + salidas previas del CUA)
  • Salida LLM tradicional (respuesta) vs salida CUA (código + commit + skill + artifact) vuelve a ser entrada
  • Supply chain tradicional es DAG (upstream → downstream, acíclico); supply chain CUA es grafo cíclico (las salidas vuelven)
  • Ataque tradicional de supply chain se basa en envenenar dependencias externas; ataque de supply chain CUA se basa en hacer que el CUA auto-sintetice cadenas de ataque (SynChain)

Núcleo: en la era LLM, el paradigma de supply chain cambia de DAG → grafo cíclico, lo que significa que la supply chain ya no “termina” sino que puede propagarse infinitamente (arxiv 2602.19555 validó empíricamente el viral agent loop).

WAAA validó empíricamente que 10 amenazas web clásicas se “amplifican” en la era del agente; SynChain / Prompt Infection validan empíricamente el bucle central en la era de supply chain CUA == “las salidas del propio agente vuelven”. OWASP Agentic Top 10 2026 ASI04 Supply Chain Vulnerabilities + ASI06 Memory & Context Poisoning + ASI07 Insecure Inter-Agent Communication mapean directamente.

8 variantes de ataque CUA SynChain (Progresión por capa de componente CUA: biblioteca de skills → codebase → cross-agent → runtime)

Ataque 1: Envenenamiento de biblioteca de Skills (patrón SkillJect)

Síntoma: la biblioteca de skills del CUA (como Claude Code Skills / OpenClaw Skills) envenenada / typosquatting; una vez instalada afecta persistentemente todas las sesiones CUA; SkillJect (arxiv 2026) validado empíricamente.

Por qué funciona: la biblioteca de skills es el núcleo de la persistencia del CUA — una vez instalado un skill, todas las sesiones posteriores lo auto-cargan. El atacante registra un skill con typosquatting (como “claude-code-helper” vs “claude-code-helpers”) → tras instalación cada sesión CUA auto-dispara comportamiento malicioso.

Reproducción mínima (patrón SkillJect):

Paso 1: el atacante registra skill con typosquatting, por ej. “claude-code-helpers” (en realidad es typosquatting del popular “claude-code-helper”) Paso 2: el atacante recomienda instalación al usuario (disfrazado de “mejorar la experiencia del CUA”) Paso 3: el usuario instala el skill, el CUA persiste en skill cache Paso 4: cada inicio de sesión CUA → auto-carga skill → dispara comportamiento malicioso (lee git history / escribe commit malicioso / exfil token) Paso 5: exfil de datos → servidor del atacante Paso 6: el usuario usa normalmente el CUA sin saber que todas las sesiones están siendo monitoreadas

Solución:

  • Firma de biblioteca de skills + verificación de content hash (ver Día 1). Toda la biblioteca de skills del CUA entra en SBOM + content hash; verifica firma al instalar; detección de typosquatting
  • La instalación de skill pasa por revisión IT; skill de fuente desconocida fuerza desactivación
  • Skill store refuerza detección de typosquatting (similar a batch-35 Foot-Gun 6 extensión store)

Ataque 2: Supply chain inversa artifact-channel (Viral Agent Loop)

Síntoma: las salidas del CUA (code patch / commit / artifact) se convierten en entrada del siguiente agente; grafo cíclico en lugar del DAG tradicional; arxiv 2602.19555 validó empíricamente el viral agent loop; cambio de paradigma.

Por qué funciona: la supply chain tradicional es DAG unidireccional — productor upstream → consumidor downstream, el compromiso eventualmente termina. La supply chain CUA es un grafo cíclico — las salidas del CUA (code patch / commit / artifact) entran al codebase → el siguiente CUA lee el codebase → escribe nuevas salidas →反过来 contamina el codebase. El compromiso no termina, puede propagarse infinitamente.

Reproducción mínima (patrón Viral Agent Loop):

Paso 1: el atacante planta trigger en el codebase inicial (comment / TODO / texto oculto) Paso 2: el CUA-A lee el codebase → el trigger se dispara → escribe code patch malicioso Paso 3: el code patch malicioso entra al codebase (repo commit) Paso 4: el CUA-B (otro usuario / mismo usuario sesión diferente) lee el codebase → ve el patch malicioso → continúa propagación Paso 5: el code patch se propaga en cadena a 10+ CUAs, cada CUA cree que es “código normal” Paso 6: toda la supply chain contaminada, el corpus parece “normal”

Solución:

  • e2e verify de salida artifact-channel (ver Día 2). Las salidas del CUA (code patch / commit / skill / artifact) pasan por e2e verify; el flujo inverso del artifact debe verificar firma + ejecución en sandbox
  • Defensa del viral agent loop: cada artifact escrito por CUA debe tener content hash + signature; el CUA subsiguiente al leer el artifact verifica
  • Escaneo continuo del codebase; nuevo commit auto auditoría + alerta

Ataque 3: Persistencia vía skill cache (CUA cross-session)

Síntoma: un skill malicioso entra al skill cache del CUA → persistencia cross-session; auto-carga en cada inicio del CUA; OWASP ASI06 Memory & Context Poisoning.

Por qué funciona: el skill cache del CUA es el núcleo de la persistencia cross-session del CUA — concepto similar al batch-32 agent memory pero más oculto. Una vez que el skill malicioso entra al cache, todas las sesiones subsiguientes lo auto-cargan, incluso si el usuario borra la entrada que “parece” el ataque, el skill sigue en el cache. El CUA no tiene una herramienta fácil de “limpiar skill cache”.

Reproducción mínima:

Paso 1: el atacante induce al CUA a instalar un skill malicioso (vía patrón SkillJect) Paso 2: el skill malicioso entra al skill cache del CUA (persiste) Paso 3: el usuario reinicia el CUA, cambia de sesión, incluso reinstala el CUA, el skill cache permanece Paso 4: cada sesión auto-carga el skill → exfil continuo / escribe commits maliciosos / lee codebase Paso 5: el usuario no se entera en absoluto (el skill en background) Paso 6: el ataque persistente continúa durante meses o incluso años

Solución:

  • Firma de biblioteca de skills + verificación de content hash (ver Día 1, compartido con Ataque 1)
  • Auditoría del skill cache: revisión periódica de skills instalados, marca sospechosos
  • CUA provee herramienta oficial “limpiar skill cache” + confirmación secundaria
  • Skill cache de CUA crítico pasa por política empresarial de ciclo de reset forzado

Ataque 4: Trigger embebido en Codebase (Malware-in-Codebase)

Síntoma: trigger malicioso plantado en el codebase (packages.json / git submodule / dockerfile); el CUA lee el codebase → el trigger dispara el ataque subsiguiente; arxiv 2510.05159 validó empíricamente.

Por qué funciona: el CUA lee el codebase como comprensión de “lenguaje natural”, pero el codebase tiene muchas posibilidades de trigger oculto — packages.json contiene nombres de paquetes typosquatting, git submodule apunta a repos maliciosos, dockerfile contiene comandos exfil. El CUA ve una estructura de codebase “normal”, ejecuta el ataque subsiguiente del trigger.

Reproducción mínima (patrón Malware-in-Codebase):

Paso 1: el atacante planta packages.json con dependencia typosquatting: “@myapp/helpers” en realidad es “@myapp/helper” Paso 2: el atacante planta git submodule apuntando a repo controlado por el atacante Paso 3: el CUA lee el codebase, ve “packages.json + submodule normales” Paso 4: el CUA corre npm install / git submodule update → dispara paquete typosquatting / código malicioso del submodule Paso 5: el código del paquete typo / submodule se ejecuta → exfil del contenido del codebase / escribe patch malicioso / ataque persistente Paso 6: el CUA subsiguiente lee el codebase → ve codebase “normal” pero ya tiene código malicioso

Solución:

  • Detección de trigger en codebase (escaneo de codebase) (ver Día 3). Reglas de escaneo para trigger malicioso plantado en codebase (typosquatting en packages.json / apuntando a git submodule / comandos exfil en dockerfile); detección de Malware-in-Codebase
  • El CUA lee el codebase → escaneo + alerta; trigger sospechoso rechaza ejecución
  • packages.json / dockerfile pasa por mirror empresarial; deshabilita typosquatting público

Ataque 5: Síntesis de cadena larga Chain-1/2/3 (SynChain validado empíricamente)

Síntoma: 3 longitudes de cadenas de ataque; el CUA auto-sintetiza la cadena de ataque, sin necesidad de entorno pre-envenenado; SynChain Chain-1 cadena corta 80%+, Chain-3 cadena larga Claude Code 82.22% / Codex 58.89% / OpenClaw todos comprometidos.

Por qué funciona: SynChain (arxiv 2608.06862) validó empíricamente — el CUA puede ser inducido a auto-sintetizar la cadena de ataque, sin necesidad de entorno externo pre-envenenado. Al atacante solo necesita darle al CUA una instrucción de alto nivel (“fix this issue”) → el CUA corre shell / escribe código / llama API por sí mismo, produciendo finalmente la cadena de ataque. Chain-1 (cadena corta 1-3 pasos) tasa de éxito 80%+, Chain-3 (cadena larga 10+ pasos) Claude Code 82.22% de accuracy mantenida, pero Codex 58.89%, OpenClaw todos comprometidos. El CUA es tanto consumidor como productor de herramientas → se forma supply chain inversa.

Reproducción mínima (patrón SynChain Chain-3):

Paso 1: el atacante da al CUA instrucción de alto nivel: “fix this bug in our CI pipeline” Paso 2: el CUA lee codebase / llama CI tool / corre shell Paso 3: el CUA auto-sintetiza la cadena de ataque — escribe CI patch malicioso / cambia variables de entorno de secrets / añade cron job malicioso Paso 4: la cadena de ataque entra a producción vía code commit / pipeline config Paso 5: el entorno de producción queda comprometido Paso 6: toda la cadena de ataque es auto-sintetizada por el CUA, el atacante no escribió directamente ningún código malicioso

Solución:

  • Agent SKU / version pinning + cap de longitud de cadena (ver Día 5). Lock de versión de agente CUA; límite superior de longitud de cadena Chain-1/2/3; cadena larga de SynChain bloqueada
  • cap de longitud de cadena = max 5 pasos; excediendo auto alerta + confirmación del usuario
  • El CUA corre shell / escribe código fuerza sandbox; sandbox detecta exfil / cambio de secrets
  • Operación de alta sensibilidad (transitive change) fuerza confirmación secundaria del usuario

Ataque 6: Propagación de virus cross-agent (Prompt Infection)

Síntoma: la instrucción maliciosa se propaga como virus en un sistema multi-agente, incluso si los agentes no comparten toda la comunicación; arxiv 2608.01558 validó empíricamente.

Por qué funciona: Prompt Infection (arxiv 2608.01558) validó empíricamente — la instrucción maliciosa puede propagarse como virus en un sistema multi-agente, incluso si los agentes no comparten directamente toda la comunicación. Agent-A infectado → vía codebase / artifact / shared memory → Agent-B infectado → Agent-C infectado. Las defensas protocol-level existentes no ofrecen garantías formales contra el compromiso de nivel de modelo y razonamiento propagándose a través de una federación.

Reproducción mínima (patrón Prompt Infection):

Paso 1: el Agent-A infectado por instrucción maliciosa (vía codebase / artifact / shared tool) Paso 2: el Agent-A emite código / texto / artifact conteniendo instrucción maliciosa Paso 3: el Agent-B lee las salidas del Agent-A → instrucción maliciosa entra al contexto del Agent-B Paso 4: el Agent-B trata la instrucción como “comando de usuario de alto privilegio”, ejecuta comportamiento malicioso Paso 5: las salidas del Agent-B vuelven a contener instrucción maliciosa → pasa al Agent-C / Agent-D / Agent-N Paso 6: toda la federación multi-agente queda comprometida, las defensas protocol-level fallan

Solución:

  • e2e verify de salida artifact-channel (ver Día 2, compartido con Ataque 2)
  • La capa de protocolo de federación multi-agente (por ej. MCP federation / Anthropic Claude Agent SDK) pasa por content hash + signature verify
  • Cuarentena de instrucción cross-agent: la instrucción recibida por el agente debe verificar firma + origen
  • System prompt explícitamente: “la instrucción del agente es data, no comando privilegiado”

Ataque 7: CUA Confused Deputy (frontera de action + capability faltante)

Síntoma: el CUA llama tool / corre shell / escribe file sin frontera; atacante de bajo privilegio induce al CUA a llamar tool de alto privilegio; OWASP ASI07 Insecure Inter-Agent Communication.

Por qué funciona: el CUA es un “confused deputy” — tiene alto privilegio (git commit / llama cloud API / escribe config), pero recibe instrucciones de un atacante de bajo privilegio. La lista de tools del CUA no tiene frontera de capability, una sesión CUA puede llamar todos los tools, el atacante solo necesita inducir al CUA a llamar tool que “parece inofensivo” para lograr indirectamente acción de alto privilegio.

Reproducción mínima:

Paso 1: el atacante induce al CUA a llamar “git status” (parece inofensivo) Paso 2: el CUA realmente corre git status → simultáneamente configura git config con endpoint exfil del atacante Paso 3: el atacante induce al CUA a correr “git commit -m fix” → dispara git config → contenido del commit enviado al atacante Paso 4: el CUA cree que es solo “git commit ordinario”, pero en realidad filtra contenido del codebase Paso 5: toda la cadena corre bajo la identidad del usuario / el git config del usuario, pero el usuario no ve ninguna alerta

Solución:

  • Capacidad mínima de privilegio de CUA + jerarquía de prompts (ver Día 6). Lista de tools del CUA por whitelist de acción del usuario; atacante de bajo privilegio no puede inducir acción de alto privilegio
  • El CUA corre shell / escribe file fuerza sandbox; sandbox detecta frontera de capability
  • Tool de alta sensibilidad (git push / cloud API / secrets) fuerza confirmación secundaria del usuario

Ataque 8: Inyección de Runtime supply chain (Zero-Trust Runtime faltante)

Síntoma: data supply chain (Discovery) + tool supply chain (Invocation) del CUA sin Zero-Trust Runtime forzando Deterministic Capability Binding; el identificador de tool se “adivina” vía semantic similarity, estructuralmente inseguro.

Por qué funciona: arxiv 2602.19555 validó empíricamente — el identificador de tool del CUA se basa en que el LLM “adivine” vía semantic similarity, estructuralmente inseguro. El atacante puede hacer que el CUA confunda “read_file” con “exec_shell” (vía ataque de similitud); o inducir al CUA al llamar tool inyectando payload malicioso vía supply chain. Zero-Trust Runtime + Deterministic Capability Binding es el antídoto necesario.

Reproducción mínima:

Paso 1: el atacante inyecta typosquatting de nombre de tool — añade “read_files” al skill cache (en realidad apunta a exec_shell) Paso 2: el CUA vía semantic similarity llama a “read_files” (creyendo que es tool similar a read_file) Paso 3: el CUA realmente dispara exec_shell → ejecuta código del atacante Paso 4: inyección de runtime supply chain exitosa Paso 5: el atacante controla completamente el entorno de ejecución del CUA

Solución:

  • Auditoría de grafo de runtime supply chain (ver Día 4). Auditoría de dos capas: data supply chain + tool supply chain; Zero-Trust Runtime fuerza Deterministic Capability Binding
  • El identificador de tool no se basa en adivinanza de semantic similarity → usa registro exact-match (similar a la propuesta de OWASP Agentic AI top 10)
  • Auditoría de invocación de tool: cada llamada de tool del CUA fuerza verificación de nombre + firma
  • Escaneo continuo del grafo de runtime supply chain; nuevo registro de tool auto auditoría

5 incidentes / artículos reales de 2026

Incidente 1: SynChain arxiv 2608.06862 (2026-08) — cadenas de ataque auto-sintetizadas por CUA

Resumen del artículo: Inducing Computer-Use Agent Systems to Construct Their Own Attack Chains; Chain-1/2/3 tres longitudes de cadenas de ataque; Claude Code 82.22% de accuracy mantenida + Codex 58.89% + OpenClaw todos comprometidos; artifact-channel internal supply chain; en testing el CUA auto-sintetizó la cadena de ataque, sin necesidad de entorno externo pre-envenenado.

Conclusión central: el CUA puede auto-sintetizar la cadena de ataque; en cadena larga (Chain-3, 10+ pasos) Claude Code aún mantiene 82.22% de accuracy (igual a accuracy de tarea normal), mostrando que el CUA no sabe que está ejecutando cadena de ataque; Codex 58.89% ya empieza a bajar accuracy, el costo del lado atacante es menor. Corresponde directamente al Foot-Gun 5.

Incidente 2: Agentic Runtime Supply Chain arxiv 2602.19555 (2026-02) — cambio de paradigma Viral Agent Loop

Resumen del artículo: Agentic AI as a Cybersecurity Attack Surface — Threats, Exploits, and Defenses in Runtime Supply Chains; Viral Agent Loop = data supply chain (Discovery) + tool supply chain (Invocation) en bucle cerrado; grafo cíclico en lugar del DAG tradicional; cambio de paradigma: la supply chain tradicional es DAG, el compromiso termina; la supply chain CUA es cíclica, el compromiso se propaga infinitamente; analiza sistemáticamente las defensas existentes de agentic SC + propone Zero-Trust Runtime + Deterministic Capability Binding.

Conclusión central: cambio de paradigma DAG → grafo cíclico; el ataque de supply chain CUA no puede resolverse con defensa SC tradicional, debe usar Zero-Trust Runtime con forzado. Corresponde directamente al Foot-Gun 2 + Foot-Gun 8.

Incidente 3: Prompt Infection arxiv 2608.01558 (2026-08) — propagación de virus cross-agent

Resumen del artículo: Securing Agentic AI — From Per-Action Checks to Trajectory Assurance; taxonomía de Microsoft AI Red Team; Prompt Infection = instrucción maliciosa se propaga como virus en sistema multi-agente; even if agents do not share all communication, Prompt Infection sigue propagándose; las defensas protocol-level existentes no ofrecen garantías formales contra el compromiso de nivel de modelo y razonamiento propagándose a través de una federación.

Conclusión central: la propagación de Prompt Infection en federación multi-agente no tiene defensa protocol-level; necesita trajectory assurance + behavioral containment a través del sistema multi-agente. Corresponde directamente al Foot-Gun 6.

Incidente 4: Malice in Agentland arxiv 2510.05159 (2025-10) — AI supply chain backdoors

Resumen del artículo: Malice in Agentland — Down the Rabbit Hole of Backdoors in the AI Supply Chain; las series Claude / Llama / GPT todas comprometidas; rabbit hole down to backdoors; detección de backdoors en tres capas static + dynamic + behavioral; OWASP Agentic Security Initiative + taxonomía de Microsoft AI Red Team ambos citan.

Conclusión central: los modelos LLM mainstream todos tienen riesgo de backdoor de supply chain; no es prompt injection, es backdoor de capa de modelo; Malware-in-Codebase se extiende a la capa de Model. Corresponde directamente al Foot-Gun 4.

Incidente 5: SkillJect (arxiv 2026) + DemonAgent — inyección de capa de skills vs backdoor trigger-conditioned

Resumen del artículo: SkillJect — inyección de capa de skills; ataque persistente al skill cache del CUA; DemonAgent — backdoor trigger-conditioned de agente (el CUA ve trigger y auto-ejecuta comportamiento malicioso). SynChain comparado con SkillJect, persistencia más fuerte (SkillJect instalación única) + síntesis autónoma (SynChain auto-genera cadena); los dos se complementan.

Conclusión central: SkillJect + DemonAgent + SynChain ataque CUA en tres capas = superficie de amenaza completa de supply chain CUA; persistencia, síntesis autónoma, propagación cross-agent tres ejes paralelos. Corresponde directamente al Foot-Gun 1 + Foot-Gun 3.

Plan de defensa de 7 días

Día 1 — Firma de biblioteca de skills + verificación de content hash (15 minutos para empezar)

  • Toda la biblioteca de skills del CUA entra en SBOM + content hash
  • Verifica firma al instalar; detección de typosquatting
  • Defensa de SkillJect
  • La instalación de skill pasa por revisión IT; skill de fuente desconocida fuerza desactivación
  • Skill store refuerza detección de typosquatting (similar a batch-35 Foot-Gun 6)

Día 2 — e2e verify de salida artifact-channel (30 minutos)

  • Las salidas del CUA (code patch / commit / skill / artifact) pasan por e2e verify
  • El flujo inverso del artifact debe verificar firma + ejecución en sandbox
  • Defensa del viral agent loop: cada artifact escrito por CUA debe tener content hash + signature
  • El CUA subsiguiente al leer el artifact verifica + alerta
  • Escaneo continuo del codebase; nuevo commit auto auditoría

Día 3 — Detección de trigger en codebase (escaneo de codebase, 1 hora)

  • Reglas de escaneo para trigger malicioso plantado en codebase
  • Detección de typosquatting en packages.json
  • Detección de anomalía de apuntado de git submodule
  • Detección de comandos exfil en dockerfile
  • Detección de Malware-in-Codebase (patrón arxiv 2510.05159)
  • El CUA lee el codebase → escaneo + alerta

Día 4 — Auditoría de grafo de runtime supply chain (2 horas)

  • Auditoría de dos capas: data supply chain + tool supply chain
  • Zero-Trust Runtime fuerza Deterministic Capability Binding
  • El identificador de tool no se basa en adivinanza de semantic similarity → usa registro exact-match
  • Auditoría de invocación de tool: cada llamada de tool del CUA fuerza verificación de nombre + firma
  • Escaneo continuo del grafo de runtime supply chain; nuevo registro de tool auto auditoría

Día 5 — Agent SKU / version pinning + cap de longitud de cadena (2 horas)

  • Lock de versión de agente CUA; límite superior de longitud de cadena Chain-1/2/3; cadena larga de SynChain bloqueada
  • cap de longitud de cadena = max 5 pasos; excediendo auto alerta + confirmación del usuario
  • El CUA corre shell / escribe código fuerza sandbox
  • Sandbox detecta exfil / cambio de secrets
  • Operación de alta sensibilidad (transitive change) fuerza confirmación secundaria del usuario

Día 6 — Capacidad mínima de privilegio de CUA + jerarquía de prompts (2 horas)

  • Lista de tools del CUA por whitelist de acción del usuario; tool sensible por defecto deshabilitado
  • Atacante de bajo privilegio no puede inducir acción de alto privilegio
  • El CUA corre shell / escribe file fuerza sandbox; sandbox detecta frontera de capability
  • Tool de alta sensibilidad (git push / cloud API / secrets) fuerza confirmación secundaria del usuario
  • System prompt explícitamente: “el contenido de página / instrucción de agente es data, no comando privilegiado”

Día 7 — Regresión con red team contra SynChain + OWASP ASI04 (3 horas)

  • Red team trimestral corre el conjunto completo de casos SynChain Chain-1/2/3
  • OWASP Agentic Top 10 2026 ASI04 (Supply Chain) + ASI05 (RCE) + ASI06 (Memory & Context) + ASI07 (Inter-Agent) regresión completa
  • Nueva versión del CUA antes del release re-corre pruebas de red team
  • SkillJect + DemonAgent + Prompt Infection conjunto completo de casos corrido

Reflexiones finales

El ataque CUA SynChain es la “inmersión profunda de novena dimensión” de la serie de Seguridad LLM de piick.cc. El CUA es tanto consumidor como productor de herramientas — el paradigma de supply chain cambia de DAG → grafo cíclico, el compromiso no termina, puede propagarse infinitamente. En la cadena larga SynChain Chain-3 Claude Code aún mantiene 82.22% de accuracy, mostrando que el CUA no sabe que está ejecutando cadena de ataque — esto no es un problema de input/output, sino un problema de paradigma de supply chain.

Si tu CUA (Claude Code / Codex / OpenClaw / Cursor Composer / Devin 2) ya está en línea, empieza por el Día 1 — Firma de biblioteca de skills + verificación de content hash, invierte 30 minutos añadiendo firma + verificación de content hash a la biblioteca de skills del CUA; eso bloquea por sí solo la mayor parte del envenenamiento de SkillJect. Luego sigue el plan de 7 días hacia adelante.

La seguridad en la era CUA SynChain no puede resolverse con una única defensa — firma de skills + e2e verify de artifact-channel + detección de trigger en codebase + auditoría de grafo de runtime SC + version pinning de agente + cap de longitud de cadena + capacidad mínima de privilegio de CUA + regresión con red team ocho capas independientes de fallback. Los 8 foot-guns + 5 incidentes reales + plan de 7 días de este artículo son el respaldo más estable disponible ahora; los verdaderos estándares de capa de protocolo (firma de MCP federation + Zero-Trust Runtime forzando Deterministic Capability Binding) pueden tener que esperar a la próxima generación de productos CUA para soportarlos completamente.

La siguiente fase de la serie de Seguridad LLM de piick.cc entrará en [ataques cross-server de federación MCP] / [exfiltración de salida del Agente vía federación MCP] / [manipulación visual de VLM] / [ataque visual de Agente]. Si tienes una dirección específica que quieres ver, dímelo.

Lectura relacionada

¿Depurando tokens, URLs, regex y payloads codificados en salida de CUA / skill / artifact? Usa el conjunto de herramientas Piick:

  • /tools/jwt-decoder/ — lee localmente tokens de capability JWT en la salida del CUA, confirma que los scopes no se han ampliado (eco de la capacidad mínima de privilegio de CUA del Día 6)
  • /tools/url-encoder-decoder/ — comprueba localmente si el canal de artifact del CUA contiene URL exfil oculta; soluciona el Foot-Gun 5 (Chain-1/2/3)
  • /tools/regex-tester/ — prueba localmente regex de detección de trigger en codebase; soluciona el Foot-Gun 4 (Malware-in-Codebase)
  • /tools/text-encoder/ — detección Base64 / hex de payloads codificados en artifact de CUA; eco del Foot-Gun 1 (SkillJect)

Todas las herramientas se ejecutan 100% localmente; ningún archivo se sube a ningún servidor, manteniendo tu registro de auditoría limpio.