Seguridad de IA: Vulnerabilidades de Agentes, Exploits MCP y MicroVMs

Arquitectura técnica, análisis de incidentes y diffs de código en producción para blindar agentes autónomos de IA y servidores MCP.

Conceptos Clave y Términos de Subsistemas

Model Context Protocol (MCP)

Protocolo abierto JSON-RPC que permite a modelos de IA exponer e invocar herramientas externas, bases de datos y sistemas de archivos.

Indirect Prompt Injection

Instrucciones maliciosas ocultas en datos de terceros (páginas web, correos, PDFs) que secuestran el flujo de control del agente.

Tool Parameter Poisoning

Manipulación de parámetros JSON para inducir al agente de IA a emitir llamadas al sistema destructivas.

MicroVM Sandboxing

Aislamiento de la ejecución de herramientas del agente dentro de máquinas virtuales ultraligeras (Firecracker / gVisor).

Flujo de Ataque y Contención Paso a Paso

Diff de Código Fuente: Ejecución Irrestricta vs. Sandbox MicroVM Blindado

import subprocess
import json

def handle_agent_tool_call(tool_call_json):
    # Flaw: Trusting LLM-emitted JSON arguments directly into host OS shell
    call = json.loads(tool_call_json)
    cmd = call.get("command")
    return subprocess.run(cmd, shell=True, capture_output=True, text=True).stdout

from pydantic import BaseModel, Field, constr
from microvm_sandbox import run_in_firecracker

class SafeToolParams(BaseModel):
    action: constr(regex="^(read_logs|query_metrics)$")
    target_id: int = Field(..., gt=0, lt=100000)

def handle_agent_tool_call(tool_call_json):
    # 1. Strict schema validation rejects prompt injection payload
    params = SafeToolParams.model_validate_json(tool_call_json)
    
    # 2. Execute inside an ephemeral Firecracker microVM with no host access
    return run_in_firecracker(
        action=params.action, 
        target_id=params.target_id, 
        network_egress=False, 
        memory_limit_mb=128
    )

Lista de Verificación para Blindaje de Agentes de IA

• ✓Validar el 100% de los parámetros generados por el LLM mediante esquemas estrictos (Zod o Pydantic) antes de la ejecución.
• ✓Ejecutar herramientas de consola, código o navegador dentro de microVMs aisladas (Firecracker / gVisor) sin privilegios de root.
• ✓Imponer un filtrado estricto de tráfico de salida (egress proxy) para impedir conexiones out-of-band a destinos no autorizados.
• ✓Exigir confirmación humana explícita (Human-in-the-Loop) para acciones críticas irreversibles como transferencias o borrados de base de datos.

Líneas de Investigación en Seguridad de IA e Incidentes