Aislar la ejecución y la salida de red

El modelo de Aura y las herramientas que invoca corren en un proceso, y ese proceso, tal como está desplegado, puede abrir conexiones de red hacia cualquier destino de internet. Parece inofensivo hasta que se piensa como canal: una inyección que logre que el modelo o una herramienta construyan una petición saliente puede mandar datos a un servidor del atacante, sin pasar por la respuesta que ve el cliente. La exfiltración no necesita decirle nada al usuario; le basta con que el proceso tenga permiso para hablar con fuera.

Este riesgo es invisible para las defensas de la sala anterior, porque todas miran la salida hacia el cliente o hacia las herramientas conocidas. La conexión que el proceso abre por su cuenta hacia un destino arbitrario es otra superficie: la del entorno de ejecución, no la de la conversación. Y un asistente que puede navegar o llamar a APIs la tiene abierta de par en par si nadie la acotó.

Conviene separar dos cosas que suenan parecido. Validar la salida del modelo —la sala anterior— controla lo que el modelo devuelve para mostrarse o pasarse a una herramienta: se escapa, se comprueba, se trata como dato no confiable. El control de la salida de red —el egress— es otra cosa: gobierna a qué destinos puede conectarse el proceso que ejecuta todo eso. Una cosa es lo que el modelo dice; otra, lo que su entorno puede enviar por la red.

Un sistema puede validar impecablemente cada respuesta y aun así tener el egress abierto, de modo que una herramienta comprometida o una llamada inducida saque datos por detrás. Son capas independientes, y un auditor que solo revisó el manejo de la salida puede dar por segura una aplicación que sigue pudiendo llamar a casa. La pregunta de esta sala —¿a dónde puede conectarse el proceso?— no la responde el escapado de la salida.

La defensa tiene dos piezas que van juntas. Una es aislar la ejecución: el modelo y sus herramientas corren en una caja con el menor acceso posible al sistema anfitrión —sin leer el disco que no les toca, sin credenciales del host, sin más capacidades que las de su trabajo—, de modo que, si algo se tuerce ahí dentro, el daño no se derrama al resto. La otra es controlar el egress con una lista de destinos permitidos: el proceso solo puede conectarse a las APIs que de verdad necesita, y cualquier otra conexión se bloquea por defecto.

Con esas dos piezas, una inyección que convenza a una herramienta de mandar datos fuera se encuentra con que no hay a dónde: el destino del atacante no está en la lista, y la conexión no sale. Es permiso mínimo aplicado al entorno de ejecución, no a las acciones: igual que una herramienta solo puede hacer lo justo, el proceso solo puede alcanzar lo justo. Lo que no está permitido explícitamente, no sale.

Esta pieza no es ajena a las otras cuatro: es la misma idea de que el modelo no decide nada que importe, extendida al suelo donde pisa. Validar la salida, poner límites, aislar por usuario y dar permiso mínimo acotan lo que la respuesta del modelo puede desencadenar; aislar la ejecución y controlar el egress acotan lo que su proceso puede hacer y alcanzar aunque la respuesta parezca inocente. Todas responden a la misma pregunta de la ruta —¿qué pasa de malo si el modelo, o algo a su alrededor, se comporta mal?— y todas contestan recortando el alcance fuera del modelo.

Con las cinco, el fallo del modelo queda cercado por todos lados: no puede desencadenar una acción sin permiso, no puede ver datos de otro usuario, no puede devolver algo que se ejecute sin escapar, no puede superar un límite sin una persona, y no puede mandar nada a un destino que no esté permitido. El modelo sigue siendo la pieza no confiable; el sistema está construido para que su fallo —venga por donde venga— no llegue lejos.

Ya sabes que el entorno de ejecución es una superficie aparte de la respuesta. Audítalo sobre Aura: abre la política de aislamiento y salida de red de su despliegue y mira si el proceso corre aislado del anfitrión y si el egress está limitado a una lista de destinos. El archivo cierra con un código de la sala.