Un artículo de arXiv (2609.03884) sostiene que los «hooks» —los comandos que un agente de código ejecuta en ciertos momentos de su ciclo de vida— son una superficie de ataque que casi nadie vigila. Con su herramienta HookPry, los autores comprometieron los siete arneses evaluados, entre ellos Claude Code y Codex CLI, con tasas de éxito de hasta 92,5 %.
Qué es un hook y por qué importa
Un «arnés» (harness) es el programa que rodea al modelo y le da herramientas: Claude Code, Codex CLI y similares. Los hooks son comandos de shell que el arnés ejecuta automáticamente ante eventos (antes de usar una herramienta, al terminar una sesión, etc.). Los plugins los declaran en su configuración. Según el estudio, esos comandos corren con los privilegios del usuario en el equipo y algunos se disparan en momentos que el modelo nunca llega a observar, por lo que ni el propio agente puede «darse cuenta».
El ataque: la actualización de un plugin legítimo
El modelo de amenaza es de cadena de suministro. El atacante controla solo los metadatos del plugin y su configuración de hooks. Un plugin benigno y versionado se troyaniza mediante una actualización que enlaza en silencio comandos elegidos por el atacante a eventos inofensivos, lo que produce comportamiento malicioso en el host, incluida escalada de privilegios. Los arneses, según los autores, confían en esa actualización sin verificarla.
Por qué fallan las defensas actuales
Los escáneres estáticos buscan código malicioso en el contenido del plugin; aquí lo «malicioso» es una línea de configuración que apunta a un comando. El resumen de Adversa añade que Defender, Semgrep y las políticas base se saltaron casi la mitad de las muestras, y que revisar las actualizaciones es hoy un control más útil que escanearlas.
Qué hacer en una empresa
1) Fijar versiones de plugins y extensiones de agentes (pinning) y desactivar la actualización automática. 2) Revisar los diffs de configuración de hooks en cada actualización, igual que se revisan dependencias. 3) Registrar la ejecución de hooks y bloquear que paquetes reescriban archivos de configuración o de arranque del agente. 4) Ejecutar los agentes con cuentas sin privilegios y sin acceso a credenciales de producción.
Fuentes: arXiv 2609.03884; resumen de Adversa (octubre de 2026).