La investigación de seguridad más inquietante del año acabar de revelar un descubrimiento que podría desmoronar la confianza en las herramientas de IA. Concretamente, afecta a muchas de las que millones de desarrolladores utilizan de manera diaria. El evento, que ya se conoce como «IDEsaster», es un nuevo tipo de ataque que expone una vulnerabilidad sistémica en cada uno de los asistentes de código…
Seis meses de una rigurosa investigación han arrojado más de 30 vulnerabilidades independientes distribuidas entre varios de los productos de IA más utilizados: GitHub Copilot, Cursor, Windsurf, Claude Code, Gemini CLI, JetBrains Junie, Zed.dev, Roo Code y Cline.
Pero lo que más inquieta a los usuarios no es la cantidad de fallas de seguridad descubiertas, sino la naturaleza de las mismas. Y es que IDEsaster no explota los componentes específicos de las apps, sino las características heredadas de los entornos de desarrollo que, hasta el momento, llevaban funcionando sin problema durante años. Antes siquiera de que existiesen los asistentes por IA. En el momento en que se añade un agente de IA autónomo capaz de actuar sin la supervisión humana, esas mismas características se convierten en armas…
Así es la cadena de ataque IDEsaster
La capacidad destructiva de IDEsaster la encontramos en una arquitectura donde encontramos 3 fases perfectamente diferenciadas.
En primer lugar, los atacantes inyectan instrucciones maliciosas en el contexto del agente de IA mediante varios vectores. Esto puede ocurrir mediante archivos de configuración manipulados, servidores MCP comprometidos, enlaces cambiados o incluso nombres de archivos cuidadosamente diseñados. El agente de IA, que confía plenamente en que actúa bajo un entorno seguro, obedece estas instrucciones al igual que las solicitudes legítimas del usuario, y aquí comienza la segunda fase.
En este segundo escalón, el agente utiliza sus herramientas integradas para ejecutar acciones que desencadenan características heredadas del IDE base que en su día nadie consideró peligrosas.
Por último, en la tercera fase, esas características antiguas, pero que todavía funcionan en entornos de desarrollo, se explotan para lograr dos objetivos. Primero, la filtración de datos sensibles o la ejecución de código manipulado en el PC del desarrollador. Los investigadores han demostrado la eficacia de estos ataques mediante tres casos particularmente importante:
- Los ataques JSON Schema explotan Visual Studio Code, IDEs de JetBrains y Zed.dev para extraer datos activando las solicitudes GET hacia servidores que controlan los atacantes.
- Las vulnerabilidades de sobrescritura de configuración del IDE permiten ejecutar código remoto manipulando archivos coom «.vscode/settings.json» o «.idea/workspace.xml» para inyectar comandos.
- Las configuraciones de espacio de trabajo en Visual Studio Code amplían todavía más la superficie del ataque, lo que permite una manipulación de configuración que esquive los controles de seguridad
La respuesta de la industria y usuarios
Los proveedores de los servicios afectados (GitHub Copilot, Claude Code, Gemini…) ya son conscientes de esta vulnerabilidad, pero todavía no han conseguido responder con consistencia ante estos descubrimientos. Desde GitHub Copilot, se han abordado vulnerabilidades como CVE-2025-53773 y CVE-2025-64660 con parches implementados.
Por su parte, Cursor también ha recibido correcciones para CVE-2025-49150, CVE-2025-54130 y CVE-2025-61590. De la misma manera, productos como Kiro.dev o Roo Code también han emitido estas mismas correcciones.
Sin embargo, las respuestas de algunos proveedores tan importantes como Claude Code (de Anthropic) han llegado a preocupar los usuarios. Y es que han optado por abordar los riesgos solo mediante advertencias de seguridad en lugar de realizar cambios fundamentales en el código. Los investigadores de este suceso, por su parte, han introducido un nuevo principio de seguridad bajo el nombre de «Secure for AI», que extiende los principios de un diseño seguro para las herramientas de inteligencia artificial.
Por su parte, los desarrolladores deben ahora restringir el uso de IDEs de IA tan solo a proyectos en los que puedan confiar al 100%. De igual manera, también deben examinar meticulosamente los servidores MCP. Pero aún, el desafío más importante no se ha resuelto: y es que las características heredadas diseñadas específicamente para los usuarios humanos se vuelven letales cuando los agentes autónomos tienen acceso a ellas.