Una falla crítica en el agente de codificación Archon permite que extraños se apoderen de su máquina
Un error de clase de gravedad máxima (CVSS 9.8) en el agente de codificación de IA Archon expone una interfaz de control no autenticada. Aún no existe ningún parche; la solución provisional es bloquear la interfaz de su propia computadora.
Una vulnerabilidad recientemente publicada en Archon, un agente de codificación de IA, obtiene una puntuación de 9,8 sobre 10 en la escala de gravedad estándar (CVSS). Afecta a las versiones 0.2.13 a 0.11.1. En términos sencillos: cualquier persona en la misma red puede acceder al panel de control del agente sin una contraseña, y el agente detrás de él puede ejecutar comandos en la computadora.
Los detalles
Según The Hacker Wire, la interfaz de control /api/* del agente no tiene autenticación y, de forma predeterminada, escucha en 0.0.0.0. Esa dirección significa “aceptar conexiones desde cualquier dispositivo que pueda comunicarse conmigo”, no solo desde su propia computadora. El agente también se ejecuta con bypassPermissions, una configuración que omite el habitual “¿está seguro?” indicaciones. Combine los dos y un extraño que pueda llegar al puerto puede enviar instrucciones al agente y hacer que ejecute comandos como usted.
No había ningún parche de proveedor disponible en el momento de la publicación. El informe dice que no hay una prueba pública del concepto y que la falla no está en la lista de errores activamente explotados del gobierno de EE. UU. El artículo en sí es un resumen asistido por IA, así que consulte la entrada oficial antes de actuar.
¿Qué hay detrás de esto?
Los agentes codificadores son útiles porque pueden actuar: editar archivos, ejecutar programas, instalar cosas. Ese mismo poder es la razón por la que es tan importante que falte una cerradura en la puerta de entrada. Muchas de las primeras herramientas están diseñadas para un solo desarrollador en una computadora portátil y asumen silenciosamente una red amigable. El problema comienza cuando alguien los ejecuta en un Wi-Fi compartido, un servidor en la nube o una red de oficina.
Qué significa esto para ti: Si no usas Archon, no hay nada que hacer. Si lo hace, hasta que se envíe una solución, restrinja el puerto con un firewall o vuelva a vincular la interfaz a 127.0.0.1, que significa “solo esta computadora”, y evite ejecutarlo en redes compartidas. De manera más general, antes de probar cualquier herramienta de agente, verifique en qué dirección de red escucha y si solicita permiso antes de ejecutar comandos.
Fuentes
Microsoft presenta una vista previa de MAI-Base-2, un modelo de 2,8 billones de parámetros que Microsoft no publicará en abierto
Microsoft MAI-Base-2 es un modelo básico con parámetros de 2.8T entrenado en 50T tokens que, según Microsoft, aprende de manera mucho más eficiente que el de DeepSeek. Todavía está en formación y se destinará únicamente a socios de confianza.
