Botpress: un intruso lee la configuración de los bots de 16 clientes, con las claves de API que contenía
La plataforma de agentes conversacionales Botpress revela que un atacante, aprovechando un fallo en su proxy de autenticación interno, leyó en octubre la configuración de los bots de 16 espacios de clientes. Las claves de API de proveedores de IA, tokens de mensajería y accesos a CRM que se encontraban allí deben considerarse expuestos.
Un agente conversacional solo vale tanto como los servicios a los que se conecta, y cada conexión deja una clave en su configuración. Es este llavero el que un intruso pudo leer en Botpress, plataforma de creación de bots y agentes. En un aviso de incidente publicado el 6 de noviembre, su director técnico, Michael Masson, explica que un atacante leyó en octubre la configuración de los bots de 16 espacios de clientes.
Un proxy interno y, después, la cuenta de un empleado
Todo parte de un fallo en el proxy de autenticación que protege varias herramientas internas. A partir del 12 de octubre, el atacante lo sondea; finalmente consigue entrar con sesiones que parecen pertenecer a empleados, sin que sus cuentas en el proveedor de identidad estuvieran comprometidas, según Botpress. Del 13 al 21 de octubre, explora las herramientas y los sistemas conectados, observando información de cuentas de clientes, así como datos vinculados a las credenciales de API del personal.
El 21 de octubre, entre las 7:44 y las 8:23 UTC, utiliza la credencial de API de un empleado que era administrador de varios espacios de clientes, debido a que era miembro de ellos, para leer la configuración de sus bots. Estos ajustes contienen los de las integraciones: claves de API de proveedores de IA, tokens de canales de mensajería y accesos a CRM. En otros dos espacios, modifica los ajustes de una integración. El fallo se corrige el mismo día sobre las 16:25 UTC; los intentos de regreso observados hasta el 3 de noviembre fracasaron.
El motivo: revender IA
Botpress describe un objetivo claro: obtener consumo de IA para revenderlo en mercados negros. Antes y durante la intrusión, el atacante operaba una extensa red de cuentas en la plataforma para gastar créditos de IA. La empresa afirma no haber recibido ninguna petición de rescate ni haber visto datos de clientes publicados o puestos a la venta.
Qué deben hacer los clientes
Los propietarios de los espacios afectados han sido contactados y han recibido la lista de los bots e integraciones comprometidos. Como Botpress no puede determinar cuáles contenían una clave válida en ese momento, les pide que consideren expuesta cada credencial almacenada y la cambien directamente en el servicio que la emitió. Los clientes no contactados no presentan, según la empresa, ningún indicio de acceso indebido. Botpress está revisando los permisos de su personal, incluida la condición de que los empleados sean administradores de espacios de clientes, y está modificando su API para que las credenciales de un bot ya no se puedan leer de este modo.
Nuestro análisis
El incidente ilustra un riesgo propio de las plataformas de agentes: concentran las claves de todos los servicios que sus clientes integran en ellas, y una clave de un proveedor de IA se monetiza de inmediato revendiendo tokens. El eslabón débil no fue un cliente, sino una herramienta interna y un empleado con permisos demasiado amplios. Para un equipo que utiliza este tipo de plataformas, la lección es práctica: una clave dedicada por cada bot, con límite de gasto y fácil de revocar, reduce los daños si la caja fuerte del proveedor queda expuesta. El comunicado de Botpress es detallado y está fechado, pero sigue siendo la única fuente sobre el desarrollo del ataque.
Fuentes
- Botpress — Security incident disclosure, November 2026 (6 de noviembre de 2026) Fuente primaria
- Unite.AI — Botpress Discloses Internal Breach and Customer Credential Risk Fuente secundaria
Una fuente primaria procede directamente de la empresa, el laboratorio o la organización implicados. Una fuente secundaria recoge la información sin ser su autora: la señalamos como tal. ¿Has visto un error? Consulta nuestra política de correcciones.
