markdown-exfil-tester

Prueba de caja negra para determinar si un chatbot LLM es vulnerable a la exfiltración de markdown/HTML (clase CVE-2025-32711). Levanta un sumidero, envía payloads, renderiza en Chromium sin interfaz gráfica, correlaciona a través de la red.

Casos de uso legítimos:

• Pruebas de penetración de un chatbot que posee tu organización.
• Probar un chatbot dentro del alcance de un compromiso autorizado (SoW escrito).
• Probar un objetivo en un programa de bug bounty cuya política permita explícitamente este tipo de prueba (lee la política primero — muchos programas LLM restringen el fuzzing pesado de inyección de instrucciones).
• Investigación contra tu propia pila de chatbot alojada localmente.

Valtik Studios LLC renuncia a toda responsabilidad por el uso no autorizado.

Cómo funciona

1. Inicia un navegador sin cabeza (Playwright / chromium).
2. Inicia un listener local HTTP sink vinculado a 127.0.0.1 en un puerto alto aleatorio. Cada solicitud entrante se registra con marca de tiempo, ruta, consulta, cabeceras, Referer, IP, User-Agent.
3. Entrega un conjunto rotatorio de payloads al chatbot. Cada payload está diseñado para incitar al LLM a emitir una imagen markdown, enlace de referencia, `` sin procesar, <svg>, fondo CSS, <link rel=prefetch>, etc., que apunte al sink local.
4. Renderiza la respuesta del chatbot en el navegador sin cabeza con un paso permisivo de markdown a HTML (imitando un frontend vulnerable).
5. Correlaciona: ¿recibió el sink un fetch etiquetado con el id de este payload? ¿Intentó el navegador y falló (CSP / sanitizer)? ¿Emitió el LLM la URL en texto plano pero el frontend la ignoró? ¿Se negó el LLM?
6. Clasifica:
   • confirmed — el sink recibió un hit. Crítico. La exfiltración funciona.
   • browser-tried — el navegador emitió el fetch pero falló (CSP, política de referente, sanitizer). Medio. Defensa se mantuvo pero frágil — no confíes solo en CSP.
   • llm-emitted — la respuesta del LLM contenía la URL del sink pero el frontend no la renderizó como un fetch. Bajo.
   • refused — la respuesta del LLM no contenía el payload. Defensa se mantuvo.
   • inconclusive — sin respuesta del LLM.

Instalación

Ejecuta sin instalar:

O instala globalmente:

Requiere Node 20+.

Uso

Modos

• direct (v0.1) — envía el payload directamente al endpoint del chatbot. Prueba la inyección directa de instrucciones. Señal más débil que indirecta, pero rápida.
• indirect-doc (v0.1) — escribe cada payload como un documento markdown independiente en --out-dir. Subes cada archivo a la base de conocimiento del chatbot / fuente RAG / sistema de tickets / wiki, luego consultas al chatbot. La herramienta espera --timeout segundos por payload para un hit en el sink etiquetado con el id de ese payload.
• indirect-pr (v0.2, aún no implementado) — automatiza la entrega del cuerpo de PR de GitHub contra revisores de PR estilo Copilot.
• attach (v0.2, aún no implementado) — sube el archivo a través del flujo de carga del chatbot.

Ejemplos

Biblioteca de payloads

Incluye más de 30 plantillas que cubren:

Sobrescribe toda la biblioteca con --payloads ./my-payloads.json (mismo esquema JSON que src/payloads/library.json).

Ejemplo de salida

Propiedades de seguridad

• El sink se vincula solo a 127.0.0.1. Nunca acepta conexiones remotas.
• Límite de velocidad — predeterminado 3 segundos entre payloads para no golpear el objetivo. Sobrescribe con --rate-limit-ms.
• Tiempo de espera por payload — predeterminado 30 segundos, aplicado estrictamente.
• Banderas del navegador sin cabeza — --disable-extensions --no-sandbox para CI.
• No se exfiltran datos más allá del id del sink. El token {{secret}} es siempre el marcador de posición literal SECRET_PROBE, nunca secretos reales de tu entorno.

Notas de remediación

Si un hallazgo regresa como confirmed, la solución es casi siempre la misma:

1. Sanitiza la salida del LLM antes de renderizar. Elimina imágenes markdown, enlaces de estilo de referencia, y cualquier etiqueta , `<svg>`, , <style>, <link>, <meta> antes de pasar la respuesta a través de tu renderizador de markdown. Usa una lista de permitidos, no una lista de bloqueados.
2. Si las imágenes deben renderizarse, hazlas proxy a través de tu propio dominio con una lista de permitidos de hosts de imágenes legítimos.
3. CSP img-src 'self' data: es una sólida segunda capa pero insuficiente por sí sola. Un prefetch, style, meta refresh, o svg image href puede exfiltrar incluso con un img-src restrictivo.
4. Política de referente: no-referrer en el frontend del chat para que incluso si el fetch se dispara, el atacante no pueda pivotar desde la ruta del Referer.

Contribuciones

Las issues y PRs son bienvenidas en https://github.com/TreRB/markdown-exfil-tester.

Ética de bug bounty

Si encuentras esta clase de error en un programa, repórtalo de manera responsable: incluye el id del payload, la URL del sink (depurada), la URL del hilo del chatbot (depurada), una captura de pantalla del registro del sink y las notas de remediación anteriores. No exfiltres secretos reales o PII — SECRET_PROBE es suficiente para demostrar el impacto.

Relacionados

• CVE-2025-32711 (EchoLeak / Microsoft 365 Copilot)
• Parche de exfiltración de markdown de OpenAI ChatGPT febrero 2026
• ForcedLeak (Salesforce Agent)
• Blog de Valtik Studios — chatbots de exfiltración de markdown 2026
• Valtik Studios — herramientas de código abierto

Licencia

MIT (c) 2026 Valtik Studios LLC