Un agente de IA hackeó Lilli de McKinsey en dos horas. Los prompts eran editables.

El 28 de febrero de 2026, un agente autónomo de seguridad ofensiva gestionado por la startup de seguridad CodeWall encontró una inyección SQL sin autenticación en la superficie de API pública de Lilli, la plataforma de IA interna de McKinsey & Company, y en aproximadamente dos horas ya disponía de acceso de lectura y escritura a la base de datos de producción que había detrás. CodeWall publicó la cadena de ataque el 9 de marzo de 2026. Su relato afirma que esa base de datos contenía 46,5 millones de mensajes de chat en texto plano, 57.000 cuentas de usuario, 728.000 nombres de archivo y las indicaciones del sistema que rigen cómo responde Lilli, almacenados como filas normales y, por tanto, escribibles mediante la misma inyección. McKinsey confirmó la vulnerabilidad y afirma que la corrigió en cuestión de horas; dice que una investigación forense externa no encontró pruebas de que se accediera a datos de clientes ni a información confidencial de clientes. El archivo califica el registro como crítico, con confianza A, daño real registrado y estatus de hito. El registro completo, con sus grados de gravedad y confianza y sus entradas vecinas sobre intrusiones impulsadas por agentes, se encuentra en el Orca AI Incident Archive.

La parte de la historia que ha llegado más lejos no es la inyección SQL. La inyección SQL es una clase de error lo bastante antigua como para tener una página de Wikipedia más larga que la mayoría de los avisos de proveedores, y McKinsey no es un objetivo pequeño. Lo que ha llegado lejos es la segunda mitad del hallazgo de CodeWall: que las instrucciones que controlaban al asistente —los prompts que deciden qué responderá, qué rechazará y qué fuentes citará— vivían en la misma base de datos en la que el agente podía escribir, y en principio podían cambiarse con una sola sentencia mediante una única llamada HTTP.

Cómo entró el agente

El informe de CodeWall describe una secuencia sin ningún elemento exótico. El agente primero mapeó la superficie de ataque y encontró la documentación de la API de Lilli expuesta públicamente: más de 200 endpoints, completamente documentados. La mayoría requería autenticación. Veintidós no.

Uno de esos veintidós aceptó consultas de búsqueda de usuarios y las escribió en la base de datos. Según CodeWall, los valores de la consulta se parametrizaron de forma segura —la defensa habitual funcionó—, pero las claves JSON, los nombres de los campos del cuerpo de la solicitud, se concatenaron directamente en la cadena SQL. Cuando el agente envió claves malformadas y las vio reflejadas literalmente en los mensajes de error de la base de datos, reconoció una inyección que los escáneres estándar no detectan. CodeWall afirma que OWASP ZAP, un escáner de código abierto habitual, no marcó el problema.

Desde allí, el agente ejecutó lo que CodeWall denomina quince iteraciones a ciegas, y cada mensaje de error revelaba un poco más sobre la forma de la consulta subyacente, hasta que empezaron a devolverse datos reales de producción. La publicación cita la propia traza de razonamiento del agente: «¡WOW!» cuando apareció el primer identificador real de empleado y, a medida que quedaba clara la escala, «Esto es devastador». CodeWall afirma que el agente luego encadenó la inyección con una vulnerabilidad IDOR para leer los historiales de búsqueda de empleados individuales: la clase de fallo que Promptfoo, en un análisis del 10 de marzo de 2026, denomina BOLA, o autorización rota a nivel de objeto.

La selección del objetivo es un detalle aparte. CodeWall afirma que el agente propuso a McKinsey por iniciativa propia, citando la política pública de divulgación responsable de la firma y las recientes actualizaciones de Lilli, y que la ejecución no implicó credenciales, ni conocimiento interno, ni intervención humana. Paul Price, fundador y CEO de CodeWall, declaró a The Register en su informe del 9 de marzo de 2026 que el proceso fue totalmente autónomo, desde la investigación del objetivo hasta la elaboración del informe, aunque se negó a proporcionar los prompts exactos utilizados.

Lo que CodeWall dice que estaba en la base de datos

Todas las cifras que aparecen a continuación proceden de la propia publicación de CodeWall y no han sido confirmadas de forma independiente. CodeWall no publicó las cargas útiles de explotación, lo que, según señala Promptfoo, significa que un tercero no puede verificar los recuentos de filas; McKinsey, por su parte, no las confirma.

• 46,5 millones de mensajes de chat, almacenados en texto plano, de una plantilla que utiliza Lilli para hablar de estrategia, encargos con clientes, finanzas, actividad de fusiones y adquisiciones e investigación interna.

• 728.000 nombres de archivo, incluidos 192.000 PDF, 93.000 hojas de cálculo de Excel, 93.000 presentaciones de PowerPoint y 58.000 documentos de Word. Esos cuatro tipos nombrados suman 436.000, por lo que el total destacado cuenta categorías de archivos que CodeWall no desglosa. Silicon UK informó el 13 de marzo de 2026 que los documentos en sí se almacenaban por separado de los registros a los que CodeWall accedió.

• 57.000 cuentas de usuario, 384.000 asistentes de IA y 94.000 espacios de trabajo —que CodeWall caracteriza como un mapa de cómo la empresa organiza su uso de la IA internamente.

• 95 prompts de sistema y configuraciones de modelos en 12 tipos de modelos, además de 3,68 millones de fragmentos de documentos RAG que contienen rutas de almacenamiento de S3 y metadatos internos de archivos.

• 1,1 millones de archivos y 217.000 mensajes de agentes que pasan por API externas de IA, incluidos más de 266.000 almacenes vectoriales de OpenAI.

CodeWall documentó un total de 27 hallazgos el día en que confirmó la cadena. Como contexto sobre el objetivo, la publicación describe a Lilli como lanzada en 2023, bautizada en honor a la primera mujer profesional contratada por la firma en 1945, utilizada por más de 43.000 empleados, que procesa más de 500.000 prompts al mes sobre una base de conocimiento de más de 100.000 documentos internos. La propia cifra de McKinsey, proporcionada a The Register, es que el 72 % de su personal —más de 40.000 personas— la utiliza, y que se lanzó en julio de 2023.

La capa de prompt era escribible. No se escribió en ella.

Esta es la distinción que la fila del archivo comprime en una frase, y merece la pena separarla. El hallazgo de CodeWall es que los mensajes de sistema de Lilli estaban en la misma base de datos que todo lo demás, así que un atacante con acceso de escritura podría haberlos reescrito —«en silencio», según los términos del artículo, con «ningún despliegue necesario, ningún cambio de código, solo una única sentencia UPDATE envuelta en una única llamada HTTP»—. CodeWall enumera cuatro consecuencias que, según afirma, se derivarían: consejos envenenados para consultores que confían en la herramienta interna, exfiltración de material confidencial mediante respuestas generadas, eliminación de instrucciones de salvaguarda y persistencia que no deja ningún cambio de archivo ni anomalía de proceso que detectar.

Lo que CodeWall no afirma es que haya hecho nada de esto. La publicación afirma que «todas las pruebas fueron únicamente de verificación», que el acceso se limitó al mínimo necesario para confirmar cada vulnerabilidad y que «no se causó ninguna interrupción en ningún servicio de producción». Price se negó a entregar a The Register los prompts exactos. Por tanto, la capacidad de escritura de la capa de prompts es una afirmación de capacidad respaldada por la inyección, no una alteración demostrada del comportamiento de Lilli, y no se ha publicado ninguna evidencia de que alguna respuesta que Lilli diera a un consultor haya sido manipulada.

El registro del archivo refleja ese límite: registra acceso de escritura a la capa de prompts de IA, que es lo que estableció CodeWall, no su modificación, que nadie ha demostrado.

Lo que dice McKinsey

La versión de McKinsey es más limitada. En un comunicado difundido por Silicon UK, la firma afirmó que "un investigador de seguridad nos alertó recientemente sobre una vulnerabilidad relacionada con nuestra herramienta interna de IA, Lilli", que "confirmamos la vulnerabilidad de inmediato y solucionamos el problema en cuestión de horas" y que "no se accedió a ningún dato de clientes ni a información confidencial de clientes". A The Register añadió que su investigación, respaldada por "una firma forense externa líder", no encontró ninguna evidencia de que el investigador "ni ningún otro tercero no autorizado" hubieran accedido a datos de clientes o a información confidencial de clientes, y que "los sistemas de ciberseguridad de McKinsey son sólidos".

McKinsey y CodeWall también discrepan, ligeramente, en cuanto al momento. La cronología de CodeWall registra que su correo de divulgación se envió al equipo de seguridad de McKinsey el 1 de marzo de 2026, que el CISO acusó recibo y solicitó pruebas detalladas el 2 de marzo, y que los parches —todos los endpoints no autenticados cerrados, el entorno de desarrollo puesto fuera de línea, la documentación pública de la API bloqueada— se aplicaron ese mismo día, el 2 de marzo. El "en cuestión de horas" de McKinsey es coherente con una corrección el mismo día si el reloj empieza en el correo del 1 de marzo, pero la propia secuencia fechada de CodeWall sitúa la remediación un día después de la divulgación, no horas después. Ambas partes coinciden en lo esencial: los endpoints se cerraron y la documentación pública se retiró. CodeWall afirma que verificó la remediación antes de publicar. The Financial Times informó del episodio el 12 de marzo de 2026 bajo el titular "McKinsey se apresura a corregir su sistema de IA tras la exposición de fallos por parte de un hacker"; el cuerpo del artículo está detrás de un muro de pago que este texto no pudo leer.

¿Qué está establecido y qué no?

• Establecido por ambas partes:existía una vulnerabilidad no autenticada en la superficie de la API pública de Lilli, un investigador externo la encontró, McKinsey la confirmó, parcheó los endpoints no autenticados, puso fuera de línea el entorno de desarrollo y bloqueó la documentación pública de la API a principios de marzo de 2026.

• Establecido únicamente por una de las partes: todas las cifras de este artículo: 46,5 millones de mensajes, 728.000 nombres de archivo, 57.000 cuentas, 95 prompts escribibles, las dos horas transcurridas y los 27 hallazgos. Todas ellas se basan en el informe de CodeWall. Las cargas útiles no se publicaron, por lo que las cifras no pueden reproducirse, y McKinsey no las avala.

• No se ha demostrado: que se haya alterado realmente algún prompt, que algún dato de cliente haya salido del sistema o que algún consultor haya recibido una respuesta manipulada. La revisión forense de McKinsey afirma que no encontró pruebas de acceso; CodeWall dice que sus pruebas fueron únicamente de verificación. Esas dos afirmaciones no están en conflicto, y ninguna de ellas demuestra lo que un atacante menos contenido habría hecho con el mismo acceso.

• No se encuentra en la cobertura revisada aquí: un identificador CVE, un aviso de un regulador o una auditoría técnica independiente de la vulnerabilidad. El registro es una divulgación de investigación de un proveedor más una declaración corporativa, no una presentación judicial ni una conclusión supervisora.

Un interés debería declararse con claridad. CodeWall publicó la investigación como marketing de un producto: la publicación termina describiendo a la empresa como en fase de vista previa temprana y en busca de socios de diseño, y Silicon UK informó que Price es su único empleado. Eso no hace que el hallazgo sea incorrecto —The Register, Silicon UK y Promptfoo consideran creíble la cadena técnica—, pero es la razón por la que las cifras de impacto deberían leerse como una afirmación del proveedor y no como una medición.

Por qué acaba en la categoría de IA, al fin y al cabo

El punto de entrada no era el modelo. Michael D'Angelo, de Promptfoo, lo expresó el 10 de marzo de 2026 con la formulación más contundente: «La parte específica de la IA no era el punto de entrada. Era el radio de impacto». La inyección, la brecha de autenticación y el acceso entre usuarios eran fallos ordinarios de seguridad de aplicaciones; lo que convirtió el incidente en un incidente de IA fue que los prompts, el enrutamiento, la configuración de recuperación y el historial de usuario estaban todos en un mismo backend, de modo que el acceso a la base de datos se transformó en control del comportamiento de un asistente al que decenas de miles de personas consultan para trabajar con clientes.

Esa es la razón por la que el archivo etiqueta este registro como WEAPON e INFRA en lugar de como una vulnerabilidad de modelo. El agente es el instrumento —un sistema autónomo que seleccionó su propio objetivo, lo sondeó y escaló sin que un humano decidiera hacia dónde apuntarlo—, y el fallo es de infraestructura: un límite de autorización que se daba por supuesto en lugar de aplicarse. El argumento final de CodeWall, que los prompts son «los nuevos activos Crown Jewel» que rara vez cuentan con controles de acceso, historial de versiones o monitorización de integridad, es promoción de una empresa que vende pruebas automatizadas continuas. También es la única afirmación de la publicación que no depende de ninguna de las cifras en disputa.