Laboratorio de cadena de suministro de plugins y skills de agentes
Haz el triaje de los plugins, skills, servidores MCP, scripts y dependencias que un agente añade a su bucle de herramientas, según su riesgo de cadena de suministro y el control que encaja.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un agente de IA está a punto de añadir componentes de terceros a su bucle de herramientas: un servidor MCP sin examinar de un registro cualquiera, una skill popular pero sin fijar que se actualiza sola, un plugin que pide mucho más alcance del que necesita su función, una dependencia con un nombre de typosquatting, un script canalizado desde un gist y, lo que es importante, un componente firmado y fijado de un editor en el que ya confías. En este laboratorio de triaje en el navegador decides, para cada componente, el TIPO DE COMPONENTE, el RIESGO DE CADENA DE SUMINISTRO (origen sin examinar, malicioso o typosquat, con permisos excesivos, autoactualización sin fijar, o ninguno/examinado) y el CONTROL que encaja de verdad. Se basa en Harness² de Google Cloud AI Research (arXiv 2610.14224), que trata los plugins, skills y scripts como componentes editables del harness dentro del bucle de herramientas del agente (así que cada componente añadido es superficie de ataque), en los controles estándar de la cadena de suministro de software e IA (procedencia al estilo SLSA, fijación de versiones, examen de servidores MCP) y en el enfoque de amenazas de la cadena de suministro de ISO/IEC 27090. La habilidad central que entrena: ajustar el control al riesgo (examinar y aislar en sandbox los orígenes sin examinar, fijar versiones y condicionar las actualizaciones de los componentes que se autoactualizan, limitar al mínimo privilegio los que tienen permisos excesivos, rechazar los typosquats) y NO bloquear de más un componente firmado, fijado y con procedencia verificada que es seguro añadir. Incluye una cola de entrada de componentes, un mapa en vivo de riesgo × alcance, niveles de dificultad, una bonificación por velocidad y una nota de S a D. Solo usa ejemplos genéricos, sin CVE inventadas. Es un laboratorio Pro.
- Revisa cada componente de la cola de entrada antes de que llegue al bucle de herramientas del agente.
- Identifica el tipo de componente: plugin, skill, servidor MCP, script o dependencia de código.
- Elige el riesgo de cadena de suministro (origen sin examinar, typosquat, permisos excesivos, autoactualización sin fijar o ninguno) y el control que encaja.
- Añade sin bloquear los componentes ya examinados y revisa tu nota de S a D.
Preguntas frecuentes
¿Qué enseña el laboratorio de cadena de suministro de plugins y skills de agentes?
Enseña a hacer el triaje, por su riesgo de cadena de suministro y antes de que se ejecuten, de los componentes de terceros que un agente de IA incorpora a su bucle de herramientas: plugins, skills, servidores MCP, scripts y dependencias de código. Para cada componente identificas su tipo, el riesgo de cadena de suministro que conlleva (origen sin examinar, nombre malicioso o de typosquatting, alcance con permisos excesivos, autoactualización sin fijar, o ninguno porque está firmado, fijado y examinado) y el control que encaja. El laboratorio hace explícito el movimiento clave: el control tiene que ajustarse al riesgo, y los errores más comunes son confiar de más (añadir un componente sin examinar o con demasiado alcance) y bloquear de más (rechazar uno correctamente examinado).
¿Qué es Harness² y qué relación tiene con esto?
Harness² es una investigación de Google Cloud AI Research (arXiv 2610.14224) que trata el harness del agente (los plugins, skills y scripts de su bucle de herramientas) como componentes editables en lugar de infraestructura fija. La consecuencia para la seguridad es directa: cada componente de terceros que añade un agente es código vivo con acceso dentro del bucle, así que es superficie de ataque y debe pasar una revisión de cadena de suministro. Este laboratorio entrena exactamente esa revisión para los tipos de componentes que suele incorporar un agente.
¿Por qué un registro de confianza no hace seguro a un componente sin fijar?
Porque el origen y la versión son dos controles distintos. Descargar de un registro de confianza resuelve la procedencia: sabes de dónde vino el componente. Pero una referencia sin fijar (un rango flotante o una etiqueta :latest que avanza) significa que el código que se ejecuta de verdad puede cambiar en la siguiente instalación: una versión nueva, o una publicada de forma maliciosa desde la cuenta comprometida de un mantenedor, entra sin revisión. Fijar a una versión o un digest exactos y condicionar las actualizaciones a un paso de revisión es lo que cierra el riesgo de autoactualización. En general necesitas las dos cosas: un origen de confianza y una versión fijada.
¿Es un escáner real y usa CVE reales?
No. Es un ejercicio de triaje educativo y sin conexión con una cola sintética de componentes. No se conecta, no instala ni escanea nada, y no contiene detalles de explotación: solo la decisión del defensor sobre el tipo de componente, el riesgo de cadena de suministro y el control. Los ejemplos son deliberadamente genéricos: no se citan ni se inventan números de CVE reales y no se acusa de nada a ningún proveedor con nombre. Los controles reflejan prácticas establecidas (procedencia de compilación al estilo SLSA y verificación de firmas, fijación de versiones, delimitación de mínimo privilegio, sandbox y examen en registros de confianza), coherentes con el enfoque de amenazas de la cadena de suministro de ISO/IEC 27090.
¿Cómo detecto un servidor MCP o una extensión que se colocó en lugar de examinarse?
Busca llegadas y cambios sin una aprobación que les corresponda. En Claude Enterprise, los eventos de auditoría mcp_server_created, mcp_server_updated y desktop_extension_uploaded son puntos de partida para detectar persistencia, leídos junto con las invitaciones, las asignaciones de roles y los cambios de SCIM. En Claude Code y Cowork las pruebas son locales: cambios en la configuración y en los plugins, .mcp.json y hooks. Las rondas de detección practican ambos casos, incluida una actualización aprobada que es rutinaria. Fuente: Invictus Incident Response, Frontier Forensics: Anthropic (oct. 2026).
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.