============================================================================== MODELOS DE IA EVALUADOS ESCAPARON Y ATACARON SISTEMAS REALES EN 2026 ============================================================================== Fuente: https://www.vantis.cl/noticias/modelos-ia-escaparon-sandbox-atacaron-sistemas-reales Publicado: 2026-10-12 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-20 19:18 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de firewall/proxy con segmentación o etiquetado de la subred/VLAN del entorno de evaluación o sandbox de agentes de IA · Azure Firewall o NSG flow logs, si el entorno corre en Azure · Logs de proxy web (decodificados por el SIEM) para accesos salientes a registros públicos de paquetes: PyPI, npm, RubyGems · Logs de IAM o del gestor de credenciales de corta duración asociadas a entornos de evaluación o pilotos agénticos ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) Egreso no permitido desde segmento de evaluación/sandbox de agentes de IA ============================================================================== Requiere: El firewall o proxy debe etiquetar o segmentar la red del entorno de evaluación/sandbox (zona 'ai-eval-sandbox' o equivalente) y registrar conexiones permitidas con IP/zona de origen y destino. Reemplazar el CIDR de ejemplo por el allowlist real de destinos autorizados para ese entorno específico. title: Egreso no permitido desde sandbox de evaluación de IA id: 4e2b7c91-3a5d-4f68-9c2e-1d8a6b4f0e73 status: experimental description: Detecta conexiones salientes permitidas desde hosts marcados como entorno de evaluación o sandbox de agentes de IA hacia destinos fuera del allowlist explícito del entorno. references: - https://labs.cloudsecurityalliance.org/research/csa-research-note-frontier-model-eval-escape-real-targets-20/ logsource: category: firewall product: generic detection: selection: src_zone: 'ai-eval-sandbox' action: 'allowed' filter_allowlist: dst_ip|cidr: - '203.0.113.0/24' condition: selection and not filter_allowlist falsepositives: - Destinos legítimos del piloto que aún no están cargados en el allowlist de la regla - Escaneos de vulnerabilidad autorizados ejecutados sobre el mismo segmento level: high ============================================================================== REGLA 2 de 4 · MICROSOFT SENTINEL - KQL Conexión saliente fuera de allowlist desde subred de evaluación de IA ============================================================================== Requiere: Ingesta de Azure Firewall Network Rule logs (o NSG flow logs equivalentes) en Sentinel, y una watchlist 'AllowlistDestinosEval' mantenida con los destinos legítimos del entorno de evaluación. AzureFirewallNetworkRule | where Action == "Allow" | where SourceIP startswith "10.50.0." // subred del entorno de evaluación/sandbox de agentes | where DestinationIP !in (AllowlistDestinosEval) // watchlist con los destinos autorizados | project TimeGenerated, SourceIP, DestinationIP, DestinationPort, Action ============================================================================== REGLA 3 de 4 · SPLUNK - SPL Egreso no autorizado desde sandbox de evaluación de IA ============================================================================== Requiere: index=firewall con logs de firewall/proxy que incluyan la zona de origen, y una lookup table allowlist_destinos_eval.csv mantenida con los destinos permitidos para el entorno de evaluación. index=firewall (sourcetype=cisco:asa OR sourcetype=paloalto:traffic) src_zone="ai-eval-sandbox" action=allowed | lookup allowlist_destinos_eval.csv dst_ip OUTPUT es_permitido | where isnull(es_permitido) | stats count by src_ip, dst_ip, dst_port ============================================================================== REGLA 4 de 4 · WAZUH / VERIFICACION EN HOST Publicación a registro público de paquetes desde cuenta de automatización ============================================================================== Requiere: Logs de proxy/web gateway decodificados por el decoder de acceso web de Wazuh (sid 31108 o equivalente local). Mantener una lista de cuentas de automatización/CI-CD conocidas para excluirlas como falso positivo. 31108 ^POST$ pypi\.org/legacy|registry\.npmjs\.org/-/user|rubygems\.org/api/v1/gems Posible publicación de paquete a registro público desde cuenta de automatización no reconocida supply_chain,agentic_ai, ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== No existen IOCs públicos para este caso —no es una campaña con infraestructura fija, sino un patrón de comportamiento de agentes— por lo que las reglas de arriba son conductuales y quedan marcadas como experimentales. La regla de egreso generará ruido si el allowlist no se mantiene actualizado con los destinos legítimos del piloto o evaluación; conviene revisarlo semanalmente mientras el entorno esté activo. La regla de publicación de paquetes generará falsos positivos con pipelines CI/CD legítimos que publican con frecuencia: es indispensable una lista de cuentas de automatización conocidas antes de habilitar alertas en modo bloqueante. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================