El 2 de octubre de 2026 AWS publicó el boletín 2026-124-AWS sobre Loom, su plataforma de orquestación de agentes. La falla más grave, CVE-2026-103956 (CVSS 10.0), es un caso de manual: si no configurabas un proveedor de identidad, el sistema te trataba a todos como administrador.
En las versiones de Loom anteriores a la 1.6.1, cuando no estaba configurado ni Amazon Cognito ni un proveedor de identidad externo, el backend asignaba a cada solicitud una identidad fija de super-administrador, sin exigir cabeceras de autorización. Cualquier cliente con alcance de red al API obtenía control total del plano de control de agentes. Según el análisis de DeepInspect, eso permitía leer y modificar agentes, credenciales, configuración y ajustes de seguridad. Otros reportes añaden que un atacante podía registrar servidores de herramientas maliciosos y modificar las políticas IAM de los roles administrados.
El mismo boletín incluye CVE-2026-103957 y CVE-2026-103958, que afectan a versiones anteriores a la 1.7.0 y requieren un usuario autenticado. En la primera, el usuario podía apuntar la URL de descubrimiento OAuth2 a un endpoint propio y recibir secretos de cliente o tokens de acceso. En la segunda, podía dirigir las conexiones del backend a direcciones internas arbitrarias y leer las respuestas, lo que abre la puerta a servicios internos de credenciales. El boletín también cubre CVE-2026-104019, una inyección de comandos en Amazon SageMaker Studio, que se corrige reiniciando los Spaces.
Si algún despliegue estuvo expuesto en red sin proveedor de identidad, asume que el plano de control pudo estar comprometido. Actualiza a la 1.7.0, configura Cognito o un IdP externo antes de exponer el backend, deja la variable LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV desactivada en producción, y rota secretos de cliente OAuth2, invalida tokens en circulación y rota las credenciales de sesión IAM que administra la plataforma.
El patrón no es exclusivo de AWS: herramientas pensadas para desarrollo local ("sin auth para probar") llegan a producción con el modo permisivo como valor por defecto. En una plataforma de agentes el costo es mayor que en una app común, porque el plano de control guarda credenciales de integración y define qué herramientas pueden invocar los agentes. Comprometerlo equivale a comprometer todo lo que los agentes pueden tocar.
Qué significa para tu empresa: antes de adoptar un orquestador de agentes, pregunta qué pasa si no configuras identidad (¿falla cerrado o abierto?), prueba que una solicitud anónima sea rechazada, y trata el plano de control como un activo crítico: acceso solo desde red privada, credenciales rotables y registro de cada cambio en agentes y herramientas.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel