El 8 de octubre de 2026 alguien publicó en npm la versión 0.5.144 del SDK de Tensorlake, una plataforma de infraestructura para agentes de IA. Traía una variante del gusano Shai-Hulud que se ejecuta con solo instalar el paquete. Socket la detectó 11 minutos después, pero el diseño del malware deja una lección incómoda para cualquier equipo que trabaje con agentes.
Según el análisis de Socket, la versión maliciosa 0.5.144 del paquete tensorlake se publicó en npm el 8 de octubre de 2026 a las 01:12:07 UTC y fue marcada a las 01:23:10 UTC, unos 11 minutos después. npm retiró la versión y Tensorlake publicó la 0.5.145. SafeDep también reportó el compromiso, según The Register.
The Register añade que el paquete recibe alrededor de 12.000 descargas semanales y que su repositorio supera las 1.000 estrellas en GitHub. Ojo con leer esa cifra mal: son las descargas del paquete en general, no cuántas máquinas instalaron la versión maliciosa en esos 11 minutos, un dato que no hemos visto publicado.
El truco no está en el código del SDK, sino en el ciclo de instalación de npm. Un script preinstall se ejecuta durante npm install, antes de que nadie importe la librería o arranque un agente. Por eso el riesgo cae sobre laptops de desarrolladores, runners de CI y servidores de build, justo donde viven las credenciales.
Socket describe que la carga útil recolecta credenciales de AWS, Kubernetes y HashiCorp Vault, de GitHub y npm, configuraciones de herramientas de desarrollo como Claude, Cursor y Zed, además de llaves SSH, archivos .env y carteras cripto. SafeDep y The Register suman contraseñas del navegador, secretos de GitHub Actions y tokens de cuentas de servicio. También establece persistencia y permite ejecutar código remoto.
Shai-Hulud es un gusano de cadena de suministro: con los tokens de publicación que roba a la víctima, puede comprometer otros paquetes bajo la identidad de esa persona, y así saltar de proyecto en proyecto. The Register recuerda que la misma variante ChainDrop se usó en agosto de 2026 contra las dependencias keyv y flat-cache.
Las herramientas de agentes son el nuevo blanco favorito porque sus equipos concentran muchas llaves: nube, repositorios, claves de LLM. Tres acciones concretas: (1) desactivar scripts de instalación automáticos en CI cuando sea posible (--ignore-scripts) y fijar versiones con lockfile; (2) no dar a los runners de build más permisos de los necesarios, ya que un solo .env expuesto lo entrega todo; (3) tener un runbook de incidente que diga explícitamente en qué orden se rota, para no activar un interruptor destructivo. Si en Guatemalia podemos ayudar a revisar tu pipeline de agentes, escribe a info@guatemalia.com.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel