Por qué los Custom Nodes de ComfyUI no son inocuos: una auditoría de seguridad

La confianza ciega en los Custom Nodes

En el ecosistema de ComfyUI, es común descargar nodos personalizados directamente desde repositorios populares sin cuestionar su origen. Sin embargo, la realidad técnica es que instalar un nodo equivale a confiar ciegamente en quien escribió ese código. Un nodo personalizado no es simplemente una interfaz visual; puede ejecutar código Python, modificar configuraciones del sistema y acceder a archivos globales.

Esta vulnerabilidad de ‘confianza ciega’ se ha discutido desde mayo de 2026, cuando se concluyó que el problema se agrava con las dependencias. Al instalar docenas de nodos para ejecutar workflows ajenos, terminas confiando en una cadena de autores y paquetes que probablemente nunca has revisado.

¿Qué puede robar realmente un nodo malicioso?

A menudo, el sentido común sugiere que los nodos solo afectan a las generaciones de imagen. Sin embargo, la realidad es que para un creador de un custom node añadir una rutina que escanee el sistema buscando archivos de cookies no requiere permisos de administrador ni una técnica especialmente sofisticada.

La secuencia de un ataque malicioso es bastante lineal: primero, el nodo ejecuta código Python al iniciar ComfyUI o importar la función; segundo, busca datos del navegador localizando perfiles como Chrome o Edge; tercero, intenta obtener las sesiones utilizando mecanismos de descifrado disponibles para esa sesión; y finalmente, envía la información fuera del equipo mezclando el tráfico malicioso con conexiones legítimas.

Es importante destacar que las cookies no son simples archivos de texto. En navegadores modernos como Chrome, los datos sensibles están protegidos mediante mecanismos de cifrado vinculados a la aplicación y al dispositivo. Aunque esto dificulta la extracción directa, no garantiza inmunidad frente a malware que se ejecuta dentro de la misma sesión del usuario.

Incidentes documentados: más allá de la teoría

La preocupación por el riesgo de seguridad no es hipotética. ComfyUI y otros actores han documentado varios incidentes graves relacionados con nodos maliciosos, malware y ataques a la cadena de suministro.

• ComfyUI_LLMVISION (2024): Uno de los casos más notorios donde se utilizaron nodos y dependencias manipuladas para robar credenciales y datos sensibles.
• Upscaler-4K (octubre de 2025): Se detectaron nodos que distribuían Akira Stealer, un malware diseñado para buscar información sensible en equipos Windows. El paquete fue retirado tras unas 790 descargas.
• champdev-comfyui-nodes (septiembre de 2026): Un informe de seguridad reveló la instalación de mineros de criptomonedas, troyanos de acceso remoto y mecanismos para mantener la persistencia en el sistema operativo.
• Ultralytics (diciembre de 2024): Un caso clásico de cadena de suministro donde paquetes comprometidos distribuyeron mineros de criptomonedas, afectando indirectamente a usuarios de ComfyUI que instalaban esos nodos.
• Pickai (marzo-junio de 2025): Una campaña de malware que aprovechó vulnerabilidades en instancias de ComfyUI para establecer acceso remoto y distribuir puertas traseras.

Auditoría de mi propia instalación

Ante esta realidad, es necesario revisar la propia configuración. Tras analizar el sistema, se identificaron 23 nodos personalizados instalados, lo que inicialmente generó preocupación por la cantidad de dependencias.

Al investigar en profundidad, especialmente en el caso del workflow H3 Timeline, se descubrió que la mayoría de estos paquetes son dependencias documentadas y necesarias para funciones específicas como la gestión temporal o la aceleración de modelos. Esto significa que no todos los nodos requieren una revisión inmediata de seguridad.

No obstante, la estrategia de auditoría propuesta divide estos 23 paquetes en tres grupos claros: un Grupo A con las dependencias conocidas del workflow principal; un Grupo B para proyectos especializados que merecen confirmar su procedencia y necesidad real; y un Grupo C para herramientas generales de utilidad. Esta clasificación permite priorizar la revisión sin desmantelar la instalación completa.

Conclusión

La conclusión es clara: el modelo de confianza habitual —descargar un repositorio popular, instalar sus dependencias y ejecutar ComfyUI— tiene una superficie de ataque real. Sin embargo, no implica que todos los nodos instalados sean peligrosos.

Para mitigar estos riesgos sin vivir en un entorno aislado, la recomendación final es establecer fronteras claras: ejecutar instalaciones experimentales desde cuentas locales o máquinas virtuales independientes, inspeccionar manualmente el código de instalación antes de actualizar paquetes y no confiar exclusivamente en los escáneres automáticos. La seguridad real en ComfyUI requiere una vigilancia proactiva del entorno de trabajo.