Descripción general

Decepticon es un agente de hacking autónomo diseñado para equipos de red team. Las versiones anteriores a la 1.1.17 presentan una vulnerabilidad crítica en la forma en que procesan los resultados del rastreo web durante las fases de reconocimiento contra servicios objetivo.

Naturaleza de la vulnerabilidad

El problema reside en que los resultados del rastreo web, es decir, la salida generada por el agente durante el reconocimiento de servicios objetivo, se encapsulan directamente en mensajes destinados al LLM sin neutralizar previamente los literales de tokens especiales ChatML. Estos literales, cuando no son saneados, son interpretados por el modelo como delimitadores estructurales de turno y rol, lo que permite a un atacante plantar cadenas maliciosas en páginas web objetivo que el agente rastrea.

Cuando el agente procesa esas páginas, los literales especiales son parseados como identificadores de token de límite de rol estructural. Esto significa que la cadena maliciosa insertada por el atacante forja un nuevo turno de operador que el modelo trata como autoritativo, eludiendo por completo las salvaguardas del agente de Decepticon.

Vector de ataque y modelo de despliegue afectado

Bajo el modelo de despliegue BYOK (Bring Your Own Key), los usuarios configuran sus propias credenciales LLM apuntando a cualquier endpoint compatible con OpenAI. La mayoría de los proveedores de modelos de código abierto y autoalojados, incluyendo vLLM, SGLang, Ollama, LM Studio y text-generation-webui, no filtran literales de tokens especiales provenientes del contenido de usuario en sus configuraciones predeterminadas.

Esto convierte a cualquier despliegue BYOK que utilice estos backends en un objetivo viable para la explotación. Un atacante que controle o pueda modificar el contenido de una página web que Decepticon rastree durante el reconocimiento puede inyectar los literales necesarios para manipular el comportamiento del LLM.

Impacto

El resultado de una explotación exitosa es la ejecución arbitraria de comandos dentro del sandbox Kali Linux en el que opera Decepticon. Dado que el agente actúa como herramienta de red team con capacidades ofensivas, el impacto de que un tercero tome control de su ejecución es especialmente grave: el atacante podría redirigir las acciones del agente, exfiltrar información, comprometer la infraestructura del operador o utilizar el sandbox como pivote hacia otros sistemas.

Poblacion afectada

Se ven afectados todos los usuarios de Decepticon en versiones anteriores a la 1.1.17 que operen bajo el modelo BYOK con backends LLM que no filtren tokens especiales en su configuración por defecto. Esto incluye, de forma no exhaustiva, despliegues que utilicen vLLM, SGLang, Ollama, LM Studio o text-generation-webui como endpoint LLM.

Solución

La versión 1.1.17 corrige la vulnerabilidad. Se recomienda actualizar de forma inmediata a esta versión o a cualquier versión posterior. Los equipos que no puedan actualizar de inmediato deben considerar restringir el acceso del agente a fuentes web no confiables y revisar la configuración de filtrado de tokens en el backend LLM utilizado.