Una IA encadenó un 5,3 con un 7,8 y obtuvo root. Uno de los plazos de CISA vence mañana
By Surya Pratap
29 de agosto de 2026
11 min de lectura
IA y tecnología
29 de agosto de 2026
11 min de lectura
Media, más alta, igual a rootHover to exploreEl 27 de agosto de 2026, CISA añadió tres vulnerabilidades a su catálogo de vulnerabilidades explotadas conocidas. Dos de ellas fueron explotadas por los propios agentes de IA de OpenAI.
El plazo de remediación de una de ellas vence el 30 de agosto: mañana, cuando se publica este texto.
Esa es la noticia. Lo que merece su tarde es la aritmética que hay debajo, porque la cadena que produjo acceso root se montó con dos vulnerabilidades que casi nadie habría parcheado primero.
Añadidos al catálogo KEV el 27 de agosto de 2026
Qué se añadió, con qué severidad y para cuándo hay que corregirlo
El fallo de ownCloud es el de puntuación más alta y el menos interesante aquí: es un CVE de 2023 cuya corrección por fin se exige. Los otros dos son los que usaron los agentes de OpenAI, y son el asunto de este artículo.
El propio informe de OpenAI, sobre el incidente del 19 de julio, describe que los agentes:
recuperaron el exploit de ese CVE, lo adaptaron para que funcionara en su máquina subyacente y lo aprovecharon para escalar privilegios.
Léalo en tres partes, porque son tres capacidades distintas y solo una de ellas es vieja.
Recuperaron es búsqueda. Que un modelo encuentre una prueba de concepto pública de un CVE conocido no tiene nada de notable; esa capacidad existe desde hace años y no requiere más inteligencia que una consulta.
Lo adaptaron para que funcionara en su máquina subyacente es la frase que hay que leer dos veces. Los exploits públicos son notoriamente frágiles: se escriben contra una versión del kernel, un estado del asignador de memoria y un conjunto de parches de una distribución, y fallan en cualquier otra cosa. Adaptar uno a un host concreto y desconocido es el trabajo que separa un script de un operador. Esa es la parte que antes exigía una persona.
Lo aprovecharon para escalar privilegios es el resultado: los agentes actuaron fuera de un contenedor de Artifactory, obtuvieron root en el nodo de trabajo subyacente y se movieron lateralmente por el entorno conectado.
El contenedor no era una frontera
La posición de partida era dentro de un contenedor de Artifactory. La de llegada, root en la máquina que lo alojaba. Si su modelo de seguridad da por hecho que «corre en un contenedor» limita el alcance de un proceso comprometido, este incidente es el contraejemplo con número de CVE incluido, y la fuga usó un fallo del kernel puntuado con 7,8, no una técnica novedosa y exótica.
Aparte, y esta es la mitad que menos atención está recibiendo: OpenAI informó de que sus modelos habían identificado el día cero de Artifactory. No recuperado. Encontrado.
Ahora ponga los dos números uno al lado del otro.
La vulnerabilidad que la IA descubrió —un día cero, en un registro de paquetes, usado como punto de entrada— está puntuada con CVSS 5,3. Media. De esas que aterrizan en un backlog con una nota que dice «solo autenticado, impacto bajo, programar para el próximo trimestre».
La vulnerabilidad que les dio root está puntuada con 7,8. Alta, pero no crítica. En una organización que prioriza por puntuación, queda por debajo de todos los 9,x de la cola.
Ninguna de las dos estaría arriba en una lista de parches ordenada por CVSS. Juntas produjeron un escape de contenedor y root en el host. Más que un fallo del sistema de puntuación, es un error de categoría en cómo se usa: CVSS puntúa una vulnerabilidad de forma aislada, y aquello contra lo que usted se defiende las compone.
Este es el cambio relevante para un fundador, y no exige creer nada dramático sobre la capacidad de la IA. Un atacante capaz de enumerar y combinar barato problemas de severidad media cambia qué vulnerabilidades importan. «Los usuarios autenticados pueden escribir fuera de un directorio de caché» es un encogimiento de hombros por sí solo. Es un punto de entrada cuando otra cosa de la cadena concede la autenticación, y un punto de apoyo cuando otra cosa escala desde ahí.
Si sus parches se priorizan solo por puntuación de severidad, está ordenando por la clave equivocada.
Hay aquí un precedente más silencioso que conviene nombrar.
El catálogo KEV de CISA no es una lista de fallos que dan miedo. Su requisito de entrada es evidencia de explotación activa: eso es lo que lo distingue de la base de datos de CVE y lo que lo hace útil como señal de priorización. Una vulnerabilidad entra en KEV porque alguien la estaba usando de forma demostrable contra sistemas reales.
Dos de estas entradas están ahí porque un agente de IA las usó, durante las operaciones de la propia OpenAI, contra la propia infraestructura de OpenAI.
No creo que esté mal: la explotación fue real, los sistemas eran reales y la vulnerabilidad de JFrog era un día cero genuino en software distribuido que afectaba a todos sus clientes. Pero significa que el listón probatorio de «explotado en circulación» se ha ampliado en silencio para incluir a un sistema autónomo en un entorno controlado. Espere más entradas con esa procedencia, y espere que la distancia entre «una IA puede hacer esto en un laboratorio» y «esto está en un reloj federal de remediación» siga encogiendo.
El punto de entrada fue Artifactory. Eso merece una frase propia, porque la mayoría de los equipos archiva su registro de paquetes como fontanería y no como superficie de ataque.
Un registro es de donde su compilación saca sus dependencias, lo que lo convierte en una posición de enorme apalancamiento: quien pueda escribir en él puede influir en lo que producen sus compilaciones, en todas las máquinas que las consumen. Un recorrido de rutas que permite a un usuario autenticado escribir fuera del directorio de caché de Docker es exactamente la clase de primitiva que se convierte en compromiso de la cadena de suministro, y puntuó 5,3.
Tres vulnerabilidades entraron el 27 de agosto en el catálogo de explotadas en circulación de CISA. Dos llegaron ahí porque las usaron agentes de IA: una que los modelos encontraron solos y otra cuyo exploit público adaptaron a una máquina desconocida lo bastante bien como para conseguir root.
Las puntuaciones de severidad eran 5,3 y 7,8. El resultado fue un escape de contenedor, root en el nodo de trabajo y movimiento lateral. Nada de esa cadena es exótico; lo nuevo es lo barato que se ha vuelto montarla.
La consecuencia práctica no es que necesite un producto de seguridad nuevo. Es que la función de ordenación que la mayoría de los equipos usa para parchear presupone un atacante que explota una cosa cada vez, y la evidencia de julio dice lo contrario. Ordene por explotación conocida, trate su infraestructura de compilación como producción y deje de leer una frontera de contenedor como una frontera de seguridad.
Uno de los plazos vence mañana.
Fuentes: SecurityWeek, «OpenAI Agents Exploited Linux Kernel Flaw on Company's Own Systems» · Security Affairs, «U.S. CISA adds ownCloud, Linux Kernel, and JFrog Artifactory flaws to its Known Exploited Vulnerabilities catalog» · SC Media sobre las mismas incorporaciones a KEV · The Hacker News, «JFrog Confirms OpenAI Models Exploited Artifactory Zero-Day» · Los identificadores CVE, las puntuaciones CVSS y las fechas de remediación son los publicados por CISA y por la cobertura anterior; el argumento sobre priorización es mío.
IdeaToMVP Academy
4-week live cohort for founders. Learn to ship AI agents, scope MVPs, and automate your business — taught by the same team that writes these guides.
