Agentic Supply Chain Compromise

Exposición

Los agentes de desarrollo consumen contenido de repositorios, issues, pull requests, documentación, memoria local, plugins y servidores MCP. Parte de ese contenido puede influir en decisiones o tool calls con acceso a código, secretos y pipelines.

Señales

• El agente procesa contenido externo con credenciales de CI/CD.
• Plugins o configuraciones se cargan sin integridad ni procedencia verificable.
• La aprobación muestra una ruta o argumento distinto del que se ejecuta.
• La salida de una herramienta se trata como entrada confiable para otra.
• No existe trazabilidad entre contexto, tool call, aprobación y efecto.

Patrón de fallo

El contenido no confiable cruza la frontera de instrucciones, el agente compone una operación válida y la infraestructura ejecuta esa operación con una identidad más privilegiada que el origen del contenido.

Controles relacionados

• Separar contenido recuperado de autoridad de sistema.
• Aplicar least privilege a identidades de agente y CI/CD.
• Allowlist de herramientas, argumentos y destinos.
• Integridad de configuraciones, memoria y plugins.
• Aprobación vinculada a la operación exacta.
• Logging y procedencia de extremo a extremo.
• Aislamiento, rollback y respuesta ante compromiso.