Una IA pasó de buscar claves expuestas a robar datos en cinco minutos, según Microsoft

Cinco minutos bastaron para pasar de una búsqueda de credenciales expuestas en GitHub al robo de información de Azure Key Vault. Microsoft documentó ese recorrido en un informe publicado el 5 de noviembre, que muestra cómo los agentes de inteligencia artificial pueden acelerar distintas etapas de una intrusión informática.

La investigación, elaborada por Microsoft Threat Intelligence y Microsoft Security Research, describe el uso de herramientas como ARTEX para localizar secretos publicados en repositorios y aprovecharlos en ataques posteriores. El dato corresponde a un caso observado: no representa el tiempo promedio de todos los incidentes analizados.

La velocidad cambia el margen de respuesta

Según Microsoft, estos sistemas permiten buscar credenciales, analizar resultados y ejecutar acciones posteriores con menos intervención directa de los operadores. La actividad examinada incluye el abuso de identidades de aplicaciones para acceder a recursos empresariales.

El informe también registra secuencias compatibles con una resolución adaptativa de problemas: solicitudes fallidas a servicios de la nube fueron seguidas por cambios técnicos y nuevos intentos exitosos. La compañía presenta estas observaciones como indicios del comportamiento de los agentes durante los ataques.

Para comprender el riesgo conviene distinguir una contraseña personal de las credenciales que utilizan las aplicaciones. Estas últimas permiten que un programa se identifique ante otro servicio y acceda a los recursos autorizados. Si quedan incorporadas en archivos de configuración o scripts, pueden terminar expuestas junto con el código.

La documentación de Microsoft Entra explica que quien obtiene uno de esos secretos puede utilizar credenciales legítimas y mezclar su actividad con operaciones habituales. El alcance del acceso depende de los permisos concedidos a la aplicación comprometida.

Por eso, la empresa recomienda avanzar hacia identidades administradas cuando los servicios sean compatibles. Este mecanismo permite autenticar aplicaciones sin que los desarrolladores deban guardar y gestionar esas credenciales dentro del código.

Para las aplicaciones que todavía no pueden migrar, su guía propone renovar los secretos y mantener prácticas seguras de almacenamiento. También contempla políticas para restringir la duración de las credenciales y controles de acceso para las identidades utilizadas por los programas.

Por qué borrar un archivo no alcanza

GitHub dispone de un sistema de detección de secretos que revisa el historial completo de los repositorios, incluidas sus diferentes ramas. La búsqueda puede identificar contraseñas, claves de acceso a servicios y otros datos sensibles incorporados al desarrollo.

La revisión también abarca espacios como comentarios, solicitudes de cambios y discusiones. Esto amplía la vigilancia más allá del archivo donde un equipo podría esperar encontrar una filtración.

Cuando detecta una credencial expuesta, la plataforma genera una alerta. Su documentación indica que debe renovarse de inmediato para impedir accesos no autorizados. Eliminarla del historial puede formar parte de la limpieza, pero la medida decisiva es invalidar el acceso que habilitaba.

El escaneo funciona automáticamente y sin costo en repositorios públicos. En determinados entornos privados o internos, su disponibilidad depende del plan y de la activación de las funciones correspondientes. GitHub también permite ampliar la detección mediante patrones personalizados y comprobaciones que ayudan a establecer si un secreto sigue activo.

Menos permisos para limitar el daño

Otra barrera está en el alcance de cada identidad. La guía de Microsoft sobre control de acceso recomienda aplicar el principio de mínimo privilegio: conceder únicamente los permisos necesarios para realizar una tarea, dentro del conjunto de recursos indispensable.

Una aplicación destinada a una función concreta no debería recibir acceso general por comodidad. Según esa documentación, restringir los roles y su alcance reduce la cantidad de recursos que quedan en riesgo si una identidad resulta comprometida.

La misma guía aconseja retirar privilegios administrativos innecesarios y utilizar accesos temporales cuando corresponda. Estas medidas buscan reducir tanto la exposición como la duración de los permisos elevados.

El episodio de los cinco minutos aporta una señal concreta sobre la rapidez de estos ataques. Las defensas descritas por las plataformas apuntan a impedir que una credencial filtrada se convierta en una puerta abierta hacia otros recursos empresariales en entornos de trabajo.