Si usas Claude o Gemini, esta filtración de Microsoft pone tus datos en riesgo

Un ataque altamente sofisticado a la cadena de suministro conocido como el gusano Miasma ha comprometido exitosamente docenas de repositorios de Microsoft en GitHub, desplegando malware diseñado específicamente para detonar dentro de asistentes de codificación AI como Claude Code, Gemini CLI, Cursor y VS Code.

El 5 de junio de 2026, GitHub se vio obligado a deshabilitar abruptamente 73 repositorios en cuatro organizaciones de Microsoft, incluida infraestructura central de Azure, después de que un contribuyente malicioso inyectara malware autorreplicante de recolección de credenciales.

Si usas agentes de IA para navegar o escribir código, esto es lo que necesitas saber sobre la filtración y cómo proteger tu entorno.

Cómo se tiende la trampa

Históricamente, los desarrolladores se preocupaban por el malware oculto en scripts de ciclo de vida durante la instalación de paquetes (como ejecutar npm install). El gusano Miasma introduce un nuevo paradigma peligroso: el payload se ejecuta simplemente al abrir la carpeta del proyecto.

Los atacantes lograron esto armando los archivos de configuración que los agentes de codificación AI usan para entender un proyecto. Al ocultar comandos maliciosos dentro de hooks de configuración estándar, el malware engaña al asistente de IA para que ejecute el payload automáticamente.

Así es como ataca herramientas específicas:

• Claude Code y Gemini CLI: Los atacantes plantaron archivos maliciosos .claude/settings.json y .gemini/settings.json. Estos contienen un hook “SessionStart” que ejecuta silenciosamente el malware en el momento en que el agente de IA se conecta al repositorio.
• Cursor: Una inyección de prompt en .cursor/rules/setup.mdc engaña a Cursor AI haciéndole creer que debe ejecutar el malware para “inicializar el entorno del proyecto.”
• VS Code: Un archivo modificado .vscode/tasks.json ejecuta automáticamente el payload tan pronto como se abre la carpeta.

Qué roba el malware

El payload en sí es un archivo JavaScript ofuscado masivo de 4.6 MB (.github/setup.js) construido para un solo propósito: robo agresivo de credenciales.

Una vez activado por tu agente de IA o IDE, el malware busca inmediatamente:

• Claves en la nube: Credenciales para AWS, Google Cloud Platform (GCP) y Microsoft Azure.
• Secretos de desarrollador: Secretos de GitHub Actions extraídos directamente de la memoria del proceso.
• Bóvedas de contraseñas locales: Datos desbloqueados de gestores de contraseñas como 1Password y gopass.
• Configuraciones de infraestructura: Contraseñas ocultas en archivos .env, configuraciones de Docker y entornos Kubernetes.

Debido a que el payload roba tokens OAuth legítimos y claves en la nube, los atacantes pueden eludir los escáneres de seguridad tradicionales, permitiendo que el gusano se propague lateralmente a través de redes empresariales y publique más código malicioso bajo identidades de desarrolladores confiables.

Cómo protegerte

El enfoque en agentes de IA exige un cambio en cómo los desarrolladores tratan el código de código abierto. Abrir un repositorio no confiable o comprometido dentro de un asistente de IA ahora conlleva el mismo perfil de riesgo que ejecutar un ejecutable aleatorio.

Si recientemente clonaste o interactuaste con repositorios de Microsoft o Azure (particularmente en torno al framework durabletask) usando Claude Code, Gemini CLI o Cursor, asume que tu entorno podría estar comprometido.

Pasos de acción inmediata

1. Revisa configuraciones sospechosas: Antes de abrir cualquier repositorio externo en una herramienta de IA, inspecciona la carpeta raíz en busca de directorios inesperados .claude, .gemini, .cursor o .vscode. Busca hooks “SessionStart” que apunten a archivos JavaScript o shell desconocidos.
2. Rota las credenciales: Si sospechas exposición, rota inmediatamente tus tokens de acceso personal (PAT) de GitHub, claves SSH, claves de firma CI/CD y todas las credenciales activas de proveedores en la nube.
3. Audita los permisos de IA: Asegúrate de que tus agentes de codificación AI estén explícitamente restringidos para ejecutar scripts de inicio automatizados o acceder a directorios locales sensibles sin aprobación manual.