Un agente de GitHub encuentra 24 vulnerabilidades en Android, pero exige revisión humana

El GitHub Security Lab ha informado que su agente de flujos de tareas de código abierto ha contribuido a identificar y reportar 24 vulnerabilidades en aplicaciones de Android. Este resultado demuestra tanto la eficacia de las auditorías asistidas por inteligencia artificial como las limitaciones actuales al depender de modelos lingüísticos para determinar si un hallazgo es verdaderamente explotable.

Flujos de trabajo dirigidos

El sistema agrupa peticiones y pasos de investigación en flujos reutilizables. Para las auditorías de Android, se añadieron rutinas orientadas a detectar puntos de entrada específicos de dispositivos móviles y clasificar posibles fallos en cada componente. Al repetir las ejecuciones, se combinan filtros estrictos para problemas conocidos con instrucciones más amplias enfocadas en descubrir conexiones complejas dentro del modelo de amenazas.

Este enfoque se adapta a proyectos mixtos, separando las superficies de ataque móvil de los componentes web o de escritorio. Los ejemplos de GitHub abarcan vulnerabilidades relacionadas con actividades exportadas de Android, intenciones (intents), enlaces profundos y componentes WebView.

Dos casos divulgados

Uno de los casos reportados afectó a la aplicación de navegación OsmAnd. Según GitHub, cualquier app podía enviar datos manipulados mediante intenciones a una actividad exportada para alterar configuraciones de forma silenciosa, incluyendo las fuentes de los mapas. Esto permitiría exponer las rutas y mosaicos cargados por el usuario a un servidor malicioso sin alterar la interfaz visual.

Otra cadena de fallos afectó a la aplicación de Wikipedia para Android. Una deficiencia en el tratamiento de enlaces profundos permitía que un sitio externo se disfrazara de página oficial dentro de la aplicación. Al combinarse con un problema en el dominio de las cookies, esta vulnerabilidad exponía credenciales de larga duración y facilitaba la apropiación de cuentas en los proyectos de Wikimedia.

Limitaciones y acceso

Estos flujos de trabajo se distribuyen como código abierto, pero su ejecución requiere una licencia de GitHub Copilot y consume solicitudes de modelos prémium. Una auditoría puede realizar numerosas llamadas a herramientas, gastar una gran cantidad de tokens y tardar un par de horas en un repositorio mediano. Los resultados se visualizan mediante un visor SQLite al finalizar.

GitHub también señala la presencia frecuente de falsos positivos y cálculos imprecisos de gravedad. Los modelos pueden pasar por alto factores de mitigación o señalar problemas inviables en escenarios reales. Por ello, los investigadores de seguridad deben validar los resultados con depuración y pruebas de concepto en lugar de asumir que toda salida de la IA es una vulnerabilidad confirmada.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: How we found 24 Android vulnerabilities using our open source AI security agent