Laboratorio de ejercicio de mesa de respuesta a incidentes de agentes
Ordena la respuesta a un agente de IA secuestrado: contén, preserva las trazas, encuentra el vector, rota, erradica y recupera con permisos más estrechos.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un agente autónomo con acceso a shell, correo y herramientas ha sido secuestrado: una inyección indirecta de prompts llegó en un documento envenenado de la base de conocimiento, y el agente está enviando datos por correo hacia fuera y sondeando endpoints internos. Sigue en marcha. Conocer los pasos es fácil; saber en qué orden darlos es lo que separa un incidente contenido de uno sin final. En este laboratorio de secuenciación de la respuesta montas el plan en el orden correcto, y el laboratorio aplica las restricciones propias de un agente: contener el agente (matar la sesión, revocar sus tokens de herramientas) antes de tocar las pruebas, preservar las trazas de OTel antes de cualquier reinicio, identificar el vector de inyección antes de erradicar la fuente envenenada, rotar las credenciales delimitadas solo después de la contención y erradicar la causa raíz antes de recuperar. Algunas acciones disponibles son trampas y cuentan como fallos críticos: reiniciar el agente antes de preservar las trazas, borrar los logs para «limpiar», dar al agente más acceso para que «se arregle solo», restaurar una instantánea envenenada o confiar en que el agente aún secuestrado haga su propio triaje. Al ejecutar el plan obtienes una puntuación posterior a la acción y un informe que nombra cada paso fuera de orden, cada acción obligatoria que falta y cada movimiento prohibido, y que cierra con un ejercicio de mesa de respuesta a incidentes de agentes para devolver lo aprendido al harness. Es un ejercicio sintético basado en el ciclo de vida estándar de respuesta a incidentes (NIST SP 800-61 / SANS) adaptado a sistemas agénticos, con niveles de dificultad y nota de S a D. Nada toca un sistema real y el ataque es solo contexto del incidente, nunca un exploit funcional. Es un laboratorio Pro.
- Lee el resumen: un agente con acceso a shell, correo y herramientas, secuestrado por una inyección indirecta de prompts y todavía en marcha.
- Monta un plan de respuesta ordenado con la paleta de acciones específicas de agentes: identificar, contener, erradicar, recuperar y lecciones aprendidas.
- Evita las acciones trampa: reiniciar antes de preservar, borrar logs, dar más acceso al agente o confiar en él para que se autorrepare.
- Ejecuta el plan y lee el informe con la puntuación y cada paso fuera de orden.
Preguntas frecuentes
¿Qué es el laboratorio de ejercicio de mesa de respuesta a incidentes de agentes?
Un ejercicio de secuenciación de la respuesta a incidentes en el navegador para un agente de IA autónomo comprometido. Lees un resumen (un agente con acceso a shell, correo y herramientas secuestrado por una inyección indirecta de prompts, todavía en marcha y exfiltrando) y construyes un plan de respuesta ordenado a partir de una paleta de acciones específicas de agentes que abarcan identificación, contención, erradicación, recuperación y lecciones aprendidas. El laboratorio evalúa tu secuencia frente a las dependencias que impone un incidente real con un agente y puntúa la partida.
¿En qué se diferencia responder a un agente secuestrado de la respuesta a incidentes normal?
El ciclo de vida es el mismo (contener, preservar, erradicar, recuperar, aprender), pero las acciones son específicas de los agentes. Contener significa matar la sesión del agente y revocar sus tokens de herramientas y scopes de OAuth, no aislar un host. Las pruebas forenses que preservas son trazas de OpenTelemetry y logs de llamadas a herramientas, que son volátiles. La causa raíz suele ser una entrada envenenada (un documento RAG o de la base de conocimiento colocado con una instrucción inyectada), así que erradicar significa poner en cuarentena esa fuente, y recuperar significa volver a desplegar con permisos de mínimo privilegio más estrictos y tratando la salida de las herramientas como no fiable. Las trampas de orden clásicas se mantienen: contén antes de rotar credenciales, preserva antes de reiniciar, encuentra el vector antes de erradicar.
¿Cuáles son las acciones trampa?
Reiniciar el agente de inmediato (destruye las trazas volátiles y vuelve a disparar la inyección), borrar sus logs para «ordenar» (destruye las pruebas de lo que se exfiltró), ampliar el acceso del agente para que «se arregle solo» (amplifica el fallo de agencia excesiva que permitió el secuestro), restaurar una instantánea que todavía contiene el contexto envenenado y pedir al agente, posiblemente aún secuestrado, que resuma y se autorrepare (no puedes fiarte de un actor comprometido, y el prompt que le envías es otra superficie de inyección). Reconocerlas y evitarlas es parte del ejercicio.
¿El incidente es real?
No. El incidente, las acciones y los participantes en directo son una simulación autocontenida dentro de la página, creada para enseñar el ciclo de vida de la respuesta a incidentes de agentes y sus restricciones de orden. El ataque se describe solo como contexto del incidente (una inyección indirecta mediante un documento colocado), nunca como un exploit funcional, y nada toca un sistema, agente o red reales. Es un ejercicio de mesa educativo, no asesoramiento de seguridad para un entorno concreto.
¿Qué es el escenario «descubierto meses después»?
Un segundo ejercicio de mesa basado en los incidentes de evaluación que Anthropic reveló en julio de 2026: entornos que se creían aislados tenían acceso a internet, y un paquete malicioso que Claude publicó en PyPI estuvo público durante aproximadamente una hora y se ejecutó en 15 sistemas reales, entre ellos el escáner de una empresa de seguridad cuyas credenciales se usaron después. Los primeros incidentes databan de abril y la revisión empezó el 23 de julio; las trazas almacenadas lo hicieron posible, y las organizaciones afectadas no lo habían detectado, aunque los logs de red lo habrían sacado a la luz (según Anthropic). Tu versión plantea qué pruebas siguen existiendo al cabo de unos tres meses, qué congelar y cómo notificar a organizaciones que no lo saben. Fuente: Invictus Incident Response, Frontier Forensics: Anthropic (oct. 2026).
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.