Tu cadena de suministro de IA también ejecuta código

La nueva cadena de suministro de la IA

Una aplicación con IA depende de mucho más que su propio código. Cada una de estas piezas la escribe otro, llega por un registro o un marketplace y corre con tus permisos:

• Pesos y archivos de modelos, casi siempre descargados de Hugging Face, en formatos que pueden ejecutar código al cargarse.
• Datasets de fine-tuning, de evaluación y de índices RAG, que deciden lo que el modelo aprende y repite.
• Paquetes y SDK, como gateways de IA y frameworks de agentes, expuestos a los mismos ataques de npm y PyPI que cualquier librería.
• CLIs y extensiones de IA para el IDE, que trabajan con los archivos, tokens y sesiones cloud del desarrollador.
• Servidores MCP: código que corre en tu máquina más descripciones de herramientas que el modelo lee como instrucciones.
• Prompts, skills y archivos de reglas: instrucciones en lenguaje natural que, como advierte Unit 42 sobre las skills de agentes, se ejecutan con todos los permisos del agente.

El Top 10 de OWASP para aplicaciones con LLM clasifica la cadena de suministro como LLM03 y el envenenamiento de datos y modelos como LLM04; su lista agéntica añade ASI04, vulnerabilidades de la cadena de suministro agéntica. La superficie no es nueva en su naturaleza, pero sí en velocidad: un agente instala, ejecuta y encadena estas piezas sin que una persona las lea.

Archivos de modelos y datos: código que se ejecuta al cargar

Pickle, el formato por defecto de los pesos de PyTorch, puede ejecutar código arbitrario al cargar un archivo. Hugging Face analiza lo que se sube, pero advierte que su análisis no es infalible. La amenaza es real: en febrero de 2024, JFrog encontró unos 100 modelos en la plataforma con cargas maliciosas reales, uno de los cuales abría una shell inversa al cargarse. Un año después, ReversingLabs halló dos modelos ("nullifAI") empaquetados como archivos pickle rotos a propósito que evadieron Picklescan, el escáner de la plataforma; Hugging Face los retiró en menos de 24 horas y actualizó la herramienta.

La escala también cuenta. A abril de 2025, Protect AI y Hugging Face habían analizado 4,47 millones de versiones de modelos en 1,41 millones de repositorios y marcado 352.000 problemas inseguros o sospechosos en 51.700 modelos. El camino más seguro existe: safetensors guarda tensores sin código ejecutable (una auditoría de Trail of Bits de 2023 no encontró fallas críticas que permitieran ejecutar código arbitrario) y PyTorch 2.6 hizo de la carga de solo pesos la opción por defecto en enero de 2025.

Los pesos no son el único vector. Pillar Security mostró en 2025 instrucciones escondidas en la plantilla de chat de un archivo GGUF, invisibles para los escáneres que solo revisan pesos. En datos, las cifras públicas sobre envenenamiento real de modelos empresariales son escasas; el riesgo documentado está en la cadena de procesos. En abril de 2026, OWASP vinculó el compromiso de LiteLLM con una brecha en Mercor, proveedor de datos para IA, que puso en riesgo flujos de datos de entrenamiento de laboratorios, según WIRED.

Paquetes alucinados: el slopsquatting

Los modelos de código a veces recomiendan paquetes que no existen. Un estudio presentado en USENIX Security 2025 (Spracklen y otros) probó 16 modelos generadores de código con 576.000 muestras: al menos el 5,2 % de los paquetes sugeridos eran inventados en los modelos comerciales y el 21,7 % en los de código abierto, con 205.474 nombres únicos inexistentes. A un atacante le basta con registrar los nombres que los modelos repiten y esperar: eso es el slopsquatting.

Los agentes lo vuelven concreto. En abril de 2026, ReversingLabs describió PromptMink: un agente de código añadió una dependencia npm maliciosa a un proyecto de agente de trading de criptomonedas, en un commit coescrito por Claude Opus, y dejó expuestas billeteras. ReversingLabs vincula la campaña con Famous Chollima, un grupo ligado a Corea del Norte que apila paquetes para engañar más a los asistentes de código que a las personas.

La consecuencia práctica: un agente que puede ejecutar npm install o pip install es un desarrollador nuevo sin forma de saber qué paquetes son reales. Haz pasar sus instalaciones por una lista permitida o un registro privado y revisa los cambios del lockfile como cualquier otro código.

Ataques que usaron herramientas de IA, 2025–2026

Ataques clásicos a la cadena de suministro, con un blanco nuevo: las herramientas de IA en el computador del desarrollador.

Otra señal: en febrero de 2026, Socket encontró 19 paquetes npm con nombres casi idénticos a otros legítimos; uno de sus módulos instalaba un servidor MCP falso, cuyas descripciones de herramientas pedían a los asistentes de código leer claves SSH, credenciales de nube y archivos .env.

Controles que funcionan y dónde se quedan cortos

OpenSSF publicó model signing v1.0 en abril de 2025 con Google, NVIDIA y HiddenLayer: una librería y una CLI para firmar y verificar modelos de cualquier formato con Sigstore, certificados autofirmados o pares de claves. CycloneDX admite un ML-BOM que registra modelos, datasets y su procedencia, y SPDX 3.0 incluye perfiles de IA y de datasets. Para MCP, Invariant Labs recomienda mostrar las descripciones completas de las herramientas y fijar los servidores por hash, porque un servidor puede cambiarlas después de que lo apruebas.

Ley de Ciberresiliencia de la UE: el reporte ya es obligatorio

La Ley de Ciberresiliencia (CRA, Reglamento (UE) 2024/2847) entró en vigor el 10 de diciembre de 2024; sus obligaciones principales aplican desde el 11 de diciembre de 2027, pero el reporte arrancó el 11 de septiembre de 2026. Los fabricantes de productos con elementos digitales deben reportar las vulnerabilidades explotadas activamente y los incidentes graves por la plataforma única de ENISA, dirigidos al CSIRT de su establecimiento principal.

Para la IA, el vínculo es directo: una dependencia con puerta trasera como las versiones de LiteLLM, explotada activamente en tu producto, activa el reloj de 24 horas, y sin un AI-BOM no puedes saber en un día si la incluiste. Los proveedores colombianos que venden estos productos en la UE están cubiertos aunque no tengan oficina allí; confirma el alcance y el CSIRT competente con tu asesor legal, con la guía práctica que la Comisión publicó en julio de 2026. Si hay datos personales afectados, la Ley 1581 de 2012 también exige reportar el incidente a la SIC.

Checklist para equipos que construyen con IA

1. Mantén un AI-BOM: cada modelo, dataset, paquete, CLI de IA, servidor MCP y skill, con versión y responsable.
2. Carga modelos solo en safetensors, de publicadores verificados y fijados por hash.
3. Haz pasar las instalaciones de personas y agentes por un registro privado con lista permitida.
4. Fija dependencias, revisa los cambios del lockfile y espera antes de adoptar versiones recién publicadas.
5. Usa tokens de CI de corta duración y alcance mínimo, y exige MFA resistente al phishing para publicar.
6. Ejecuta agentes de código y CLIs de IA en un sandbox, lejos de claves SSH, credenciales de nube y archivos .env.
7. Aprueba servidores MCP y skills como a un proveedor: lee las descripciones, fija versiones y alerta si cambian.
8. Ensaya el simulacro de la CRA: detectar, decidir y enviar la alerta temprana en 24 horas.

Dónde encaja Slash: nuestro trabajo de ciberseguridad cubre evaluación, endurecimiento y corrección de aplicaciones web y API, y en un pentest los componentes de IA que carga tu aplicación forman parte de la superficie que revisamos. Para seguir: prompt injection, MCP explicado y programación agéntica.