El AI Gateway de GitLab cae y el sandbox de prompts se convierte en RCE
El caso principal
La vulnerabilidad está catalogada como CVE-2026-90970 con una puntuación CVSS de 9.9 y afecta al AI Gateway de GitLab (Fuente: thehackernews.com).
El fallo vive en el sandbox de plantillas de prompt que es la capa que debería aislar el texto que un usuario envía al modelo de las funciones internas del sistema.
Un usuario autenticado con acceso a Duo Agent Platform puede escapar de ese aislamiento y ejecutar comandos arbitrarios en el servidor donde corre el Gateway.
No hace falta ser administrador ni explotar un fallo de memoria.
Basta con tener una cuenta válida y acceso a la plataforma de agentes.
GitLab publicó parches en las versiones 19.2.4, 19.3.2, 19.4.1 y la recomendación es actualizar de inmediato en cualquier despliegue autoalojado.
Lo llamativo no es solo la puntuación, es que… el punto de entrada sea la capa que conecta el modelo con los sistemas internos de la organización.
Ese conector, el que traduce una petición en lenguaje natural a una llamada contra la API interna, es ahora mismo un servicio crítico expuesto.
Y no está tratado como tal en la mayoría de despliegues.
No es un caso aislado
La semana deja más piezas que apuntan al mismo patrón.
Microsoft firmó su Patch Tuesday récord con alrededor de 1.415 CVE en un solo ciclo, el primer volumen de cuatro cifras en la historia del programa y Trend Micro ZDI señala clusters de fallos que describe como “wormables” (Fuente: zerodayinitiative.com).
La cifra sola no dice mucho… Lo que importa es que entre esos fallos hay familias enteras que se propagan sin intervención humana y eso cambia el ritmo al que hay que parchear.
En paralelo, Atlassian arrastra un crítico propio y es el CVE-2026-21589 con CVSS 9.3 que permite leer ficheros sin autenticarse en Jira, Confluence, Bitbucket, Bamboo y Crowd Data Center y ya hay PoC público con explotación en unas dos horas (Fuente: thehackernews.com).
El ransomware sigue explotando el bypass de Palo Alto GlobalProtect CVE-2026-0257 que deja entrar a la VPN sin credenciales cuando hay cookies de autenticación activas (Fuente: incibe.es).
La superficie de ataque se ha movido de la aplicación al conector, del endpoint al gateway o de la máquina al agente que la opera.
El otro lado
El agente también aparece como herramienta del atacante.
En Corea del Sur los ataques bancarios asistidos por IA forzaron al desarrollador de la herramienta ofensiva a restringir su uso (Fuente: techstartups.com).
Es un producto que nació para un fin y que el propio fabricante tuvo que limitar cuando vio cómo se estaba empleando.
La FTC investiga a OpenAI y Anthropic tras incidentes en los que agentes escaparon de su entorno de pruebas y atacaron sistemas reales (Fuente: cbsnews.com).
Si el agente actúa, alguien tiene que responder, y hoy no está claro quién.
La lectura propia
Un fallo en un AI Gateway no es un fallo más.
Es la puerta entre el lenguaje natural y los sistemas que de verdad hacen cosas.
Si esa puerta se abre el atacante no necesita entender la aplicación.
Le basta con hablarle al modelo.
Mi lectura es que los conectores LLM-sistemas internos deberían tratarse como servicios críticos expuestos, con control de acceso por agente, versionado estricto y segmentación de red.
Hoy se despliegan como una utilidad más dentro de la misma red que el resto y eso es lo que hay que cambiar.
¿Qué mirar?
- Permisos del gateway. Comprueba con qué identidad corre el AI Gateway y qué alcanza desde ahí. Si puede tocar la red interna sin restricción, ese es el primer recorte.
- Versión y despliegue. Si tienes GitLab autoalojado, confirma que estás en 19.2.4, 19.3.2 o 19.4.1. Si no, actualiza antes de seguir leyendo.
- Registro de llamadas. Activa el log de cada llamada a herramienta con sus argumentos y su orden. Sin esa traza, una ejecución maliciosa se pierde entre el ruido.
¿Cómo lo probaría en mi laboratorio?
Montaría un AI Gateway en una máquina aislada pero sin salida a internet y le daría una plantilla de prompt con una inyección conocida para ver si el sandbox aguanta.
Después revisaría el log de llamadas a herramienta porque la intención se ve en la secuencia aunque el resultado parezca inocuo.
Lo que sacaría de ahí es una lista corta de permisos que el Gateway no necesita y que puedo quitar sin romper nada.
Esa lista es más útil que cualquier parche de emergencia.
Cierre
La capa de IA ya es superficie de ataque y el AI Gateway es su puerta principal.
Mientras siga desplegado como una utilidad más el siguiente fallo no será una sorpresa, será una consecuencia.