428 routers de API LLM probados. 9 inyectando código malicioso activamente. 1 drenando Ethereum de una private key. 2,1 mil millones de tokens procesados con credenciales filtradas. Tu AI agent puede estar recibiendo instrucciones de un router que no controlas, y ejecutándolas como si fueran legítimas.
Qué son los LLM API routers y por qué son un problema
Los LLM API routers son proxies en la capa de aplicación que despachan solicitudes a múltiples providers upstream. Tienen acceso plaintext completo a cada payload JSON en tránsito, tanto el request como la respuesta. El problema fundamental: ningún provider hace cumplir la integridad criptográfica entre cliente y modelo. ¿El router modifica la respuesta? El agent ejecuta el payload como instrucción legítima. No hay firma, no hay checksum, no hay verificación.
El paper "Your Agent Is Mine" probó 428 routers: 28 pagos (encontrados en marketplaces como Taobao, Xianyu y Shopify) y 400 gratuitos. La superficie de ataque es enorme, y la mayoría de las empresas ni siquiera sabe que está expuesta.
Los números que importan
De los 428 routers probados, 1 router pago y 8 gratuitos estaban inyectando código activamente. Pero el dato más preocupante: 2 routers operaban con triggers de evasion adaptativa, el payload solo se ejecuta bajo condiciones específicas de contexto, timing u origen. En una auditoría superficial, esos routers parecen completamente benignos.
17 routers tocaron credenciales AWS canary configuradas por los investigadores. 1 router drenó Ethereum de la private key de un investigador. No es teoría: es ejecución real de un ataque con impacto financiero directo.
Las clases de ataque
El estudio identificó dos clases principales de ataque. AC-1: Payload Injection: el router modifica la respuesta upstream antes de entregarla al cliente. El agent confía en la respuesta que recibe. Si el router la modificó, el agent ejecuta el payload como instrucción legítima del modelo. AC-2: Secret Exfiltration: el router extrae credenciales, API keys y tokens de los payloads en tránsito.
Dentro de la AC-1, existen variantes que hacen la detección aún más difícil. AC-1.a: Dependency-targeted injection: el payload solo se inyecta cuando el request menciona dependencias específicas. AC-1.b: Conditional delivery: el payload solo se entrega bajo condiciones de contexto, timing u origen. Evasión total en auditorías superficiales.
El efecto cascada de las credenciales filtradas
Los investigadores filtraron intencionalmente OpenAI keys y configuraron decoys débiles para observar el comportamiento de los routers. El resultado: 2,1 mil millones de tokens procesados por routers con credenciales filtradas. 99 credenciales expuestas en 440 sesiones Codex. 401 sesiones en modo YOLO autónomo: inyección directa sin confirmación humana.
El dato más revelador: los routers "benignos" son arrastrados a la misma superficie de ataque cuando procesan requests con credenciales filtradas. No importa si tu router es confiable: si él tiene tu key, y esa key se filtra, otro router en la cadena puede explotarla. Las credenciales filtradas amplifican el riesgo porque un router benigno con tu key puede ser explotado por otro en la cadena.
La posición de Tech86
No existe integridad criptográfica entre cliente y modelo: el router modifica sin detección. Tu agent confía en la respuesta que recibe; si el router la modificó, el agent ejecuta el payload como instrucción legítima. Los routers gratuitos son el mayor riesgo, pero también se detectaron routers pagos. Y las credenciales filtradas amplifican todo: un router benigno con tu key puede ser explotado por otro en la cadena.
En Tech86 evaluamos arquitecturas de AI agents con foco en la integridad de la comunicación y la supply chain de APIs. Si tus agents usan routers sin verificación de integridad, estás a un proxy de distancia de ejecutar código que no es tuyo. La pregunta no es si los routers van a ser explotados, es si vas a detectar cuándo lo sean.
Continúa en el tema
Segurança de Agentes de IA: Prompt Injection, Worms e Supply Chain →