Google: agentes de IA roban credenciales en 6 horas

De asistente a operador: el cambio que preocupa a Google

Durante meses, los analistas de ciberseguridad han repetido la misma idea: la IA no crea amenazas nuevas, amplifica las que ya existen. La frase es de John Hultquist, jefe de análisis del Google Threat Intelligence Group (GTIG), y vuelve a aparecer en el informe que Google publica hoy y que titula "From Prompting to Autonomy: The Evolution of Adversarial AI". Lo que cambia respecto a informes anteriores no es el diagnóstico, sino el sujeto de la frase: ya no hablamos de atacantes que preguntan a la IA, sino de atacantes que la incorporan dentro de sus operaciones.

La diferencia es operativa. Un asistente responde cuando se le pregunta. Un agente ejecuta tareas encadenadas —escanea, decide, rota, vuelve a intentar— con una intervención humana cada vez menor. En esa distancia entre uno y otro se juega la nueva ventana de respuesta que tienen las defensas, según la investigación de GTIG recogida por El Español y por SiliconANGLE.

El caso de las seis horas: cronología de un ataque agéntico

El informe documenta un caso que, hasta hace un año, parecía futurista: un atacante diseñó un sistema de agentes de IA para planificar, ejecutar y finalizar una campaña masiva de robo de credenciales en menos de seis horas. El punto de entrada fue la infraestructura cloud de una organización ya comprometida; a partir de ahí, los agentes se encargaron de:

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Escanear vulnerabilidades sobre el entorno recién accedido.
Resolver los errores que iban aparejando durante la ejecución.
Rotar direcciones IP para no levantar alertas.
Usar la infraestructura cloud comprometida como origen del tráfico de la campaña, lo que hacía que las peticiones parecieran legítimas para los sistemas de monitorización.

Según el reporte, el actor detrás del ataque estaba motivado por dinero, y el tráfico salía desde las direcciones de la propia víctima —un detalle clave que muestra por qué este tipo de campañas son tan difíciles de detectar con las defensas tradicionales. La investigación llega a una conclusión operativa que cualquier equipo de seguridad debería memorizar: GTIG no ha observado todavía un pipeline de ataque completamente autónomo desplegado en entornos reales, pero la distancia entre lo que hoy es semi-autónomo y lo que mañana será autónomo se está acortando trimestre a trimestre.

Quién usa la IA y para qué: China, Rusia, Irán y Corea del Norte

El informe de Google no se limita al caso de las seis horas. Repasa cómo actores vinculados a China, Rusia, Irán y Corea del Norte, además de grupos puramente criminales, están incorporando modelos de IA en distintas fases de sus operaciones. La investigación atribuyó los siguientes patrones:

China — Basin Castle. El grupo ha recurrido a modelos de lenguaje para identificar objetivos de interés, preparar señuelos, modificar malware existente y resolver problemas durante las fases posteriores a la intrusión.
Irán — Calanque Ion. Usó Gemini para redactar correos dirigidos a objetivos concretos, hacer inteligencia de fuentes abiertas, traducir contenidos y preparar pretextos adaptados a cada víctima. También lo usó para resumir información y apoyar tareas de ingeniería inversa.
Corea del Norte. Múltiples grupos han incorporado la IA en la selección de objetivos y en la preparación de técnicas de phishing cada vez más personalizadas.
Rusia — Sandworm Relic. El grupo de espionaje usó Gemini para inteligencia, ingeniería social y para generar y refinar scripts destinados al robo automatizado de contraseñas y al reconocimiento de dispositivos.

A esto se suma un movimiento paralelo, también documentado por SiliconANGLE: actores vinculados a China intentaron construir marcos de pentesting automatizado que ejecutasen por sí solos escaneo de puertos, parseo de servicios y otras tareas tempranas de intrusión. Google asegura que los activos vinculados a ese esfuerzo fueron desactivados y que el desarrollo no llegó a desplegarse.

Cuando la IA también es el objetivo: UNC6780, TeamPCP y el robo de cómputo

El cambio no se queda en el uso ofensivo de la IA. Los modelos, el código y los prompts que las empresas están construyendo se han convertido, ellos mismos, en un objetivo prioritario para los atacantes. Mandiant, la división de investigación que trabaja junto a GTIG, asegura haber trabajado el último trimestre varios casos de extorsión por robo de datos en los que los atacantes sustrajeron modelos propietarios, código fuente y prompts a empresas tecnológicas, sanitarias, farmacéuticas y de medios de comunicación en Norteamérica y Europa. En uno de los casos, una compañía del sector salud perdió resultados de investigación farmacéutica y un modelo propio a manos de un grupo que amenazó con publicar ambos.

El informe pone nombre a algunos de los actores que están liderando esta nueva capa del problema:

UNC6780, también rastreado como TeamPCP, es el grupo que en marzo envenenó el gateway LiteLLM y que después lanzó compromisos masivos contra PyPI, npm y Docker Hub. El patrón es relevante para cualquier fundador técnico: publican bifurcaciones troyanizadas de servidores Model Context Protocol e inyectan código malicioso en repositorios de GitHub que los asistentes de programación clonan de forma rutinaria. Su stealer DUSTMAKER llega incluso a esconder ficheros en directorios como .claude o .cursor, donde las herramientas de IA los leen como «basura» normal del proyecto.
UNC6508, otro actor vinculado a China con una campaña de varios años contra instituciones académicas, médicas y de investigación militar, ha desplegado modelos open-weight dentro de entornos cloud comprometidos, alejándose así de APIs comerciales que serían más fáciles de monitorizar.

La demanda de accesos a modelos como Gemini o Claude en mercados clandestinos ha crecido durante 2026 y, según recoge el informe de GTIG, el precio de esos accesos se ha más que duplicado en algunos casos. El dato importa porque convierte a cualquier suscripción corporativa a un modelo de primer nivel en un activo con valor de reventa en el mercado negro.

¿Qué significa esto para tu startup?

Si estás construyendo sobre IA, esta noticia deja de ser teoría y se convierte en un problema de producto. Tres acciones concretas para esta semana:

Audita las dependencias que tus agentes tocan en silencio. Los ataques a PyPI, npm, Docker Hub y GitHub ya están ocurriendo. Revisa qué skills de Codex, Claude Code o Cursor están clonando repos externos y mete esos repos en una lista negra revisable. No basta con confiar en que "es código conocido".
Huye del tráfico saliente desde tu propia cloud. El ataque de las seis horas usaba la infraestructura cloud comprometida como origen del tráfico. Configura alertas en tu CSP para detectar patrones anómalos de salida — picos de tráfico hacia destinos no habituales, egress sostenido desde instancias que deberían estar quietas — y segmenta los permisos de red de los agentes que ejecutan tareas automatizadas.
Trata tus prompts, modelos y datos de entrenamiento como datos sensibles. Si trabajas con un modelo propietario, añade clasificación, encryption at rest y registro de accesos a los artefactos que lo sostienen. Mandiant documenta casos en los que la pérdida simultánea de modelo + datos de entrenamiento se convirtió en una extorsión directa.

Conclusión

La IA agéntica ha entrado en una fase en la que ya no es solo una herramienta de productividad para los atacantes: es el operador que encadena tareas, rota infraestructura y resuelve sus propios errores. El informe de Google Threat Intelligence Group deja dos mensajes claros. Primero, la ventana de respuesta humana se está comprimiendo a horas — literalmente, seis en el caso documentado. Segundo, la IA se ha vuelto simultáneamente arma y objetivo, con grupos criminalizando tanto su uso como su robo. Para una startup, eso significa que la conversación sobre IA y seguridad deja de ser filosófica: toca revisar dependencias, configurar alertas de salida y proteger los artefactos del modelo como se protege el código fuente más sensible.