Hackeo a Lilli de McKinsey: IA expuso 46,5 millones de mensajes
El hackeo a Lilli de McKinsey, revelado por la startup de red team CodeWall el 9 de marzo de 2026, mostró a un agente de inteligencia artificial que obtuvo acceso total de lectura y escritura a la plataforma interna de IA de la consultora en dos horas. CodeWall dice que el agente llegó a 46,5 millones de mensajes de chat y a 95 prompts de sistema editables mediante una falla de inyección SQL. McKinsey dice que corrigió los problemas en cuestión de horas y que no encontró indicios de acceso a datos de clientes. Para cualquier empresa con un asistente de IA interno, el caso muestra que una vieja falla web ahora puede alcanzar las instrucciones del modelo.
Por qué Lilli de McKinsey era un objetivo valioso
Lilli guarda buena parte de lo que sabe McKinsey. La consultora lanzó la plataforma de IA generativa en julio de 2023 y, según la empresa, hoy la usa el 72 por ciento de sus empleados, más de 40.000 personas. El chatbot procesa más de 500.000 prompts al mes.
Los consultores usan Lilli para hacer preguntas en lenguaje natural a la base de conocimiento de la firma. En una entrevista con The Stack a principios de 2025, la entonces directora de tecnología y plataformas de McKinsey, Jacky Wright, dijo que la firma había procesado su conocimiento en bases vectoriales con modelos de embeddings de OpenAI, con búsqueda semántica y por palabras clave y el reordenador de Cohere para afinar los resultados. La firma dice que la consultoría en IA representa alrededor del 40% de sus ingresos, y su CEO afirmó que la firma ha creado 25.000 agentes de IA para apoyar a su personal.
Cómo el agente de IA de CodeWall eligió a McKinsey y logró entrar
CodeWall usa agentes de IA para atacar la infraestructura de sus clientes y que estos corrijan las debilidades antes que nadie. Su propio agente de seguridad sugirió a McKinsey como objetivo, por la política pública de divulgación responsable de la firma, publicada en HackerOne, y por las actualizaciones recientes de Lilli. El agente no tenía credenciales.
Encontró documentación de la API expuesta públicamente con más de 200 endpoints, y 22 de ellos no pedían autenticación. Uno de los endpoints abiertos guardaba las búsquedas de los usuarios, y las claves JSON, es decir, los nombres de los campos, se concatenaban dentro del SQL. Cuando el agente vio esos nombres de campo reflejados textualmente en los mensajes de error de la base de datos, reconoció una inyección SQL que las herramientas habituales no detectarían. CodeWall dice que luego hizo quince iteraciones a ciegas hasta que empezaron a llegar datos reales de producción.
El fundador de CodeWall, Paul Price, dijo a The Stack que la intrusión tomó dos horas y 20 dólares en tokens. A The Register le dijo que el proceso fue «totalmente autónomo, desde investigar el objetivo hasta analizar, atacar y reportar».
A qué llegó el agente dentro de Lilli
CodeWall dice que en dos horas el agente tenía acceso total de lectura y escritura a la base de datos de producción. Según su recuento, eso abarcaba 46,5 millones de mensajes de chat sobre estrategia, fusiones y adquisiciones y proyectos con clientes, guardados en texto plano, además de 728.000 archivos, 57.000 cuentas de usuario, 384.000 asistentes de IA y 94.000 espacios de trabajo.
Son cifras de CodeWall. El analista de seguridad Edward Kiledjian calificó la cadena de ataque como «plausible y técnicamente sólida», pero dijo que el alcance del impacto que se afirma «no está del todo demostrado». Una fuente de McKinsey dijo al Financial Times que los archivos de fondo se guardaban por separado y que «nunca estuvieron en riesgo».
Por qué los prompts de sistema editables elevan el riesgo
Los 95 prompts de sistema de Lilli, las instrucciones que definen cómo responde el chatbot, estaban en la misma base de datos, y la falla permitía escribir en ella. Un atacante podría haberlos reescrito en silencio y cambiar cómo Lilli respondía a los consultores, qué barreras de seguridad seguía y cómo citaba sus fuentes, sin código nuevo ni alertas de seguridad habituales.
«Sin despliegue. Sin cambio de código. Solo una instrucción UPDATE dentro de una sola llamada HTTP». CodeWall, sobre cómo se podrían haber reescrito los prompts de Lilli
Cómo respondió McKinsey a la divulgación
El agente de CodeWall encontró la falla a finales de febrero, y los investigadores revelaron la cadena de ataque completa el 1 de marzo. Para el 2 de marzo, McKinsey ya había corregido todos los endpoints sin autenticación, desconectado su entorno de desarrollo y bloqueado la documentación pública de la API.
Un portavoz de McKinsey dijo que la firma corrigió los problemas en cuestión de horas. La empresa dice que su investigación, apoyada por una firma forense externa de primer nivel, no halló pruebas de que el investigador ni ningún otro tercero no autorizado accediera a datos o información confidencial de clientes. Price dice que el equipo de McKinsey revisó y corrigió la publicación del blog de CodeWall antes de que saliera.
Qué significa la intrusión para las empresas con herramientas de IA internas
La falla no era nueva. CodeWall dice que Lilli llevaba más de dos años en producción y que los escáneres internos de McKinsey no habían encontrado el problema; Price dice que un escaneo con OWASP ZAP tampoco lo detectó. La capa de IA no creó el hueco, pero sí elevó lo que cuesta.
Para una empresa, la tarea es clara: un asistente interno hereda todas las debilidades de la aplicación web que lo rodea. Una documentación de API expuesta, endpoints sin autenticación y prompts guardados junto a los datos de los usuarios convierten un error rutinario en una forma de cambiar lo que se les dice a miles de empleados. Price advirtió que los atacantes usarán las mismas técnicas de agentes, con fines como la extorsión financiera o el ransomware.
Preguntas y respuestas
¿Cómo hackeó un agente de IA a Lilli de McKinsey?
El agente de CodeWall encontró documentación pública de la API, usó uno de los 22 endpoints que no pedían autenticación y detectó una inyección SQL en la forma en que las claves JSON se armaban dentro de las consultas a la base de datos. Después, los mensajes de error filtraron datos reales de producción.
¿Quedaron expuestos datos de clientes de McKinsey en la intrusión a Lilli?
CodeWall dice que su agente podía llegar a datos confidenciales de clientes. McKinsey dice que su investigación, apoyada por una firma forense externa, no halló pruebas de que el investigador ni nadie más sin autorización accediera a datos de clientes.
¿Qué es la plataforma Lilli de McKinsey?
Lilli es la plataforma interna de IA generativa de McKinsey, lanzada en julio de 2023. Responde las preguntas de los consultores a partir de la base de conocimiento de la firma, y la empresa dice que la usa el 72 por ciento de sus empleados.
La visión de MOZGII
Cómo lo construiríamos
Un asistente interno como Lilli son en realidad tres cosas: un almacén de documentos, un conjunto de instrucciones que le dicen al modelo cómo responder y un servicio web que permite preguntar. En este caso el punto débil fue el servicio web, y las instrucciones estaban en la misma base de datos que todo lo demás. Si construyéramos un asistente así, guardaríamos los prompts de sistema en un almacén aparte que la aplicación en ejecución pueda leer pero nunca escribir. Un cambio en un prompt pasaría por la misma revisión que un cambio de código, con una persona con nombre que lo apruebe.
Pondríamos cada endpoint detrás de un inicio de sesión por defecto y mantendríamos la documentación de la API fuera de internet. También lanzaríamos nuestro propio agente de ataque contra el servicio de forma periódica, porque el caso muestra que los escáneres comunes pueden pasar por alto lo que un agente encuentra probando una y otra vez. Cada hallazgo iría a una persona responsable de la corrección, con una fecha límite.
Fallaría donde los equipos agregan endpoints rápido para lanzar una función nueva y se saltan la revisión. La métrica que vigilaríamos sería la proporción de endpoints activos que exigen autenticación, que debería ser siempre la totalidad. Después construiríamos una alerta que se active cuando las instrucciones de un asistente cambien fuera del flujo de publicación aprobado, para que una edición silenciosa se vuelva ruidosa.
Fuentes
De dónde salen los datos de esta nota.