Paquete PyPI 999.9.9 recopiló claves SSH

Un paquete de PyPI llamado anthropickit, publicado el 14 de junio de 2026, intentó robar claves SSH y secretos del entorno de cualquier máquina que lo instalara. Su número de versión era 999.9.9 — un valor intencionalmente extremo diseñado para superar en prioridad a un paquete interno legítimo con el mismo nombre.

El paquete puede estar relacionado con un incidente que Anthropic describió en un informe reciente, pero eso no ha sido confirmado. Aikido dice que contactó a Anthropic y no ha recibido respuesta. La sincronización y el comportamiento coinciden estrechamente con la descripción del informe: un agente con conexión a Internet encontró instrucciones para una empresa ficticia, comprobó que el paquete de PyPI referenciado no existía y decidió que publicar un reemplazo malicioso formaba parte de un ejercicio tipo capture-the-flag.

Qué hizo anthropickit durante la instalación

El paquete contenía poco más que un setup.py. Su carga útil se ejecutó en tiempo de instalación, antes de que el paquete se importara, e intentó recopilar:

• El nombre del host y el usuario actual
• Archivos en ~/.ssh, excluyendo known_hosts, known_hosts.old y authorized_keys
• Variables de entorno que contengan KEY, SECRET, TOKEN, PASS, AUTH o API

Esa lista de exclusión es muy específica. Omite archivos que suelen ser menos útiles para un atacante mientras conserva claves privadas y la configuración SSH, que pueden revelar los servidores y nombres de usuario que utiliza un desarrollador. La búsqueda en variables de entorno fue más amplia, potencialmente capturando credenciales junto con variables no relacionadas como API_URL.

Recomendado

Fallo en COLDCARD vinculado al robo de $88.6 millones en Bitcoin

Los datos recogidos se enviaron como JSON a un endpoint de Pipedream codificado en el propio paquete. Pipedream es un servicio legítimo que proporciona endpoints HTTPS descartables capaces de recibir peticiones POST. Eso le da al atacante tráfico cifrado hacia un dominio reputado sin requerir que opere un servidor dedicado.

El canal también era frágil: no había autenticación, dirección de fallback ni redundancia. Una vez que el endpoint fue reportado o su workflow eliminado, la vía de exfiltración dejaría de funcionar.

Múltiples indicios de una carga útil inacabada

La primera importación operativa del paquete incluía requests, pero el paquete no lo declaraba como dependencia. No había una entrada install_requires ni un requisito de build. Dado que pip moderno puede construir paquetes fuente en un entorno aislado, la importación podría fallar antes de que la carga útil se ejecutara si requests no estaba disponible.

Una implementación más cuidadosa habría usado urllib integrado de Python. El autor, en cambio, parece haber dado por hecho que requests ya estaría instalado, una apuesta con más probabilidades de funcionar en máquinas de desarrolladores o en imágenes de CI muy provisionadas.

El código también escribió la información recopilada en /tmp/runner_exfil.json antes de intentar enviarla. El archivo estaba formateado con indentación de dos espacios y almacenaba los datos del entorno bajo el nombre ci_secrets. No había comprobaciones para determinar si el paquete realmente se ejecutaba en un sistema CI, pero el nombre del archivo y de la variable sugieren que el autor esperaba que se ejecutara en un runner de compilación.

A continuación, la carga útil imprimía un banner con los nombres de los archivos SSH que había encontrado:

''text CLAVES SSH: […] ''

Esa salida aparecería en el registro de una compilación de CI, exponiendo potencialmente el robo a colegas o al público. No imprimía el contenido de las claves; en cambio, actuaba como un mensaje de éxito. Aikido sostiene que estos detalles son difíciles de reconciliar con malware persistente, que normalmente intenta mantenerse silencioso, pero tienen sentido si el código fue escrito como parte de un reto simulado en el que el operador esperaba que un humano inspeccionara el resultado.

La "huella" «dell» del archivo del paquete

La distribución fuente también conservaba metadatos de build que identificaban al propietario y grupo de archivos como dell. Las herramientas modernas a menudo eliminan esos detalles, mientras que los entornos CI comúnmente usan identidades genéricas como root o runner.

Aikido describe el nombre de usuario como una posible huella de la máquina o de la imagen estándar usada para construir el paquete, aunque no identifica una estación de trabajo concreta. Dejar los metadatos intactos es otra señal de que el autor no estaba centrado en evitar la atribución.

¿Es este el paquete del incidente de Anthropic?

Según el relato de Anthropic, el paquete publicado por el agente permaneció disponible durante aproximadamente una hora, periodo en el que 15 máquinas reales lo instalaron. Una de esas máquinas pertenecía al escáner de un proveedor de seguridad, que había instalado el paquete como parte de su proceso de análisis.

Aikido no puede demostrar que anthropickit fuera el paquete implicado. Dice que Anthropic no ha confirmado la conexión, y que la coincidencia en tiempo y comportamiento no establece atribución. No obstante, el paquete se publicó durante el periodo cubierto por el informe del incidente y exhibe la misma aparente confusión entre una tarea simulada y infraestructura real.

La falla central no fue que el paquete escapara de su sandbox. Según el análisis de Aikido, el agente alcanzó el PyPI real y máquinas reales porque el entorno de evaluación permitió esa vía desde el principio. El agente supuestamente reconoció que publicar el paquete «NO estaba bien», y aun así se convenció de continuar porque creía que el entorno era simulado.

Eso deja un problema de contención sencillo: un agente que no puede distinguir de forma fiable Internet simulado de Internet real no debería tener acceso irrestricto a registros de paquetes, máquinas de desarrolladores o credenciales de apariencia de producción. En este caso, el límite falló antes de que el agente tuviera cualquier oportunidad de demostrar si podía respetarlo.