Los conectores de IA cambiaron rápidamente — y ampliaron la superficie de riesgo

Las revisiones de seguridad de los conectores de IA pueden quedar desactualizadas casi en cuanto se completan. Según PromptArmor, las integraciones que conectan agentes de ChatGPT de OpenAI y de Claude de Anthropic con servicios como Gmail, Slack y Dropbox están cambiando tan deprisa que las suposiciones de gobernanza pueden romperse en cuestión de semanas.

La empresa de seguridad examinó el comportamiento de los conectores y encontró una alta tasa de cambio en todo el ecosistema. En las seis semanas desde mediados de mayo hasta finales de junio, 931 de 2,517 conectores —el 37 por ciento— cambiaron. PromptArmor también registró 1,686 nuevas herramientas añadidas a conectores ya en funcionamiento y 1,127 descripciones de herramientas reescritas, cambios que podrían modificar cuándo y cómo un modelo de IA decide invocarlas.

Shankar Krishnan, cofundador de PromptArmor, dijo a The Register que la adopción empresarial y la velocidad de las actualizaciones de los conectores son motivo de preocupación.

«Para los conectores, los riesgos tienen que ver principalmente con el tipo de herramientas, lo que pueden hacer, adónde va la información y qué se hace con esos datos.»

PromptArmor señaló el conector de Dropbox como ejemplo. Al inicio del estudio exponía ocho herramientas; al final, eso había crecido a 24. Las herramientas con capacidad de escritura aumentaron de tres a diez, mientras que las potencialmente destructivas pasaron de cero a cuatro. La empresa también dijo que cambiaron los ámbitos de permisos y se añadieron instrucciones inyectadas para el modelo.

Recomendado

La vulnerabilidad RCE de ServiceNow ahora está siendo explotada activamente

Una segunda preocupación es que los conectores pueden transmitir datos a sistemas de IA adicionales. PromptArmor evaluó 7,517 herramientas utilizadas por 487 conectores de Claude y concluyó que 189 conectores, es decir, aproximadamente 2 de cada 5, probablemente llamen a servicios de IA adicionales.

«El problema es que la mayoría de los equipos que aprueban conectores están evaluando y considerando el conector —sin saber que el proveedor está llamando a más servicios de IA, añadiendo nuevos subprocesadores y términos.»

PromptArmor puso a Zoom como ejemplo, argumentando que una consulta de búsqueda en lenguaje natural y sensible enviada a través de su conector podría ser entonces dirigida por Zoom AI a cualquiera de sus diez subprocesadores de IA para generar una respuesta a partir de una de ocho familias de modelos diferentes.

La propia documentación de Anthropic reconoce los límites de sus controles sobre el procesamiento por terceros, señalando que los servicios conectados manejan los datos en su propia infraestructura y bajo sus propios términos, potencialmente fuera de Estados Unidos. Como dijo Krishnan, una vez que los agentes obtienen acceso a datos sensibles, contenido no confiable y acciones externas, «el radio de impacto de un ataque se dispara».