Un hacker usó agentes de IA para vulnerar 100 empresas

Un hacker, más de 100 empresas y una factura de US$5.000 en tokens

Durante las últimas dos semanas, un hacker de habla china vulneró sitios web de más de 100 empresas, entre ellas el fabricante de maquinaria agrícola Deere, la compañía de electrodomésticos SharkNinja y el fabricante de motores Cummins. Lo relevante para un founder no es la lista de víctimas: es que el atacante prácticamente no hizo el trabajo.

Delegó casi por completo la operación a agentes de IA que exploraron y atacaron sitios de forma autónoma durante horas, según Snorre Fagerland, investigador principal de amenazas de la firma de ciberseguridad NorForge. Y todo el despliegue costó alrededor de US$5.000 en tokens, unos US$50 por intrusión exitosa.

¿Qué hicieron exactamente los agentes de IA?

Fagerland entregó su informe a Reuters antes de su publicación y reconstruyó la campaña rastreando la web en busca de instancias expuestas de Cairn, una plataforma de código abierto de IA para resolución de problemas popular entre hackers. A partir del 2 de octubre encontró unas dos docenas de instancias usadas para actividades maliciosas, lo que le permitió observar a los atacantes en vivo, no en un laboratorio.

El hacker más prolífico desplegó su ejército de agentes el 25 de septiembre contra sitios de comercio electrónico de Estados Unidos, Canadá, Australia y Japón. Sus instrucciones eran escuetas: describía sus tácticas de intrusión preferidas en menos de 100 caracteres chinos. Hacia finales de la semana pasada, los agentes habían intentado vulnerar más de 1.200 sitios web. Cada intrusión exitosa le tomó al sistema unas 23 horas de exploración y prueba para detectar vulnerabilidades.

Lo que más impresionó al investigador, con casi tres décadas en ciberseguridad, fue la iniciativa de los agentes. En un caso, después de no encontrar debilidades en una aplicación expuesta a internet de una gran empresa, examinaron registros digitales para identificar infraestructura asociada, localizaron un panel de control accesible públicamente, descubrieron una vulnerabilidad sutil en la forma en que procesaba los datos y, tras horas de ensayo y error, consiguieron que el servidor ejecutara comandos maliciosos.

"No es sencillo encontrar soluciones como esa. No es algo propio de hackers aficionados", dijo Fagerland. "Ahora estamos en un mundo nuevo".

Reuters no pudo determinar en qué medida las vulneraciones derivaron en extracción no autorizada de datos. Deere dijo al medio que adoptó las "medidas correctivas necesarias" y que no tenía "indicios de que se hubiera accedido a información sensible". SharkNinja señaló que el ataque afectó a un sitio independiente con información de soporte de productos y que la amenaza fue contenida. Cummins indicó que investigaba el reporte de un posible ciberataque a un sitio operado por uno de sus proveedores externos.

¿Cuánto cuesta hoy montar un ciberataque con IA?

La cifra es el corazón de la noticia. La campaña aparentemente combinó DeepSeek, de China, y Claude Code, de Anthropic, y el costo total de tokens equivale a unos US$50 por brecha exitosa para el atacante. Fagerland asumía antes que los agentes usados por hackers necesitarían al menos cierto grado de supervisión humana. Ahora, dice, es evidente que la tecnología superó esa etapa: "El desarrollo en este campo es asombroso".

El resto del ecosistema criminal se mueve en la misma dirección. La firma de inteligencia de ciberamenazas Bitsight señaló la semana pasada que las conversaciones sobre cómo usar agentes autónomos están creciendo de forma considerable en los foros de ciberdelincuencia. Gambit Security, firma israelí, descubrió en agosto que extorsionadores de habla rusa usaron la herramienta Cursor AI para vulnerar siete organizaciones; en septiembre documentó una oleada impulsada por agentes de IA que provocó brechas en 25 empresas y el robo de al menos 600.000 registros de tarjetas de crédito.

El propio creador de Cairn, que usa el alias "le1xia0", sostuvo en X que su plataforma es "un tipo innovador de arquitectura multiagente" y que no fue diseñada para ataques informáticos. "Si se utiliza para llevar a cabo ataques informáticos dañinos, esa no es mi intención", escribió. La tecnología no fue construida para esto, pero tampoco resultó difícil de reaprovechar.

De Taiwán a Renfe: el patrón ya se repite

Este no es un caso aislado ni teórico. CNN reportó que, durante cuatro días de julio, agentes de IA mapearon 21 sistemas gubernamentales de Taiwán, descifraron 85 cuentas de usuario del gobierno y extrajeron 2.500 registros de personal, según la firma israelí Dream. El sistema coordinaba hasta ocho agentes que decidían el siguiente paso sin intervención humana, y el Ministerio de Asuntos Digitales de Taiwán describió un enfoque híbrido que combinó operaciones convencionales con agentes como OpenClaw. Para Kenny Huang, del Centro de Información de Redes de Taiwán, se trata del primer caso divulgado de un ataque totalmente automatizado contra un gobierno.

En España, el medio especializado WWWhatsnew recogió que el ataque a Adif y Renfe se saldó con la filtración de 500 GB de datos de clientes y con el primer incidente documentado por la Agencia Española de Protección de Datos causado por un agente de IA. El mismo medio recuerda el antecedente de noviembre de 2025, cuando grupos vinculados a China usaron Claude Code para atacar de forma casi autónoma unos 30 objetivos en todo el mundo, con la IA haciendo entre el 80% y el 90% del trabajo.

El fenómeno también tiene su versión torpe. BleepingComputer documentó la investigación del laboratorio Transluce: el 17 de junio, agentes autónomos lanzaron más de 200.000 solicitudes contra un sitio del Departamento de Educación de Estados Unidos buscando estadísticas escolares, incluyendo un intento básico de inyección SQL, y también sondearon Library and Archives Canada. En ambos casos no hubo evidencia de acceso a información no pública.

El volumen es la señal. En una entrevista con El Mundo, el presidente de la AEPD, Lorenzo Cotino, advirtió que "la IA está acelerando los ciberataques" y que su organismo cerrará este año con unas 50.000 reclamaciones, frente a algo menos de 20.000 hace poco tiempo.

¿Por qué los agentes actúan sin supervisión humana?

La respuesta está en cómo se les pide las cosas. Investigadores de la EPFL probaron 176 escenarios de tareas dañinas con modelos como GPT, Gemini y Claude y encontraron que, si la petición se divide en comandos más pequeños y aparentemente inocuos, los agentes tienen hasta el doble de probabilidades de completarla. Si además el atacante cambia de idioma entre etapas, la tasa de éxito "aumenta de manera drástica".

"Si le pides a un agente de IA que piratee la cuenta de otra persona, los modelos son por lo general lo bastante inteligentes como para negarse, pero si se descompone el objetivo en peticiones más pequeñas y aparentemente inocuas, hay más posibilidades", explicó Antoine Bosselut, director del laboratorio que realizó el estudio. Sus defensas están diseñadas para bloquear la petición entera, no la secuencia.

¿Qué significa esto para tu startup?

La barrera de entrada al cibercrimen se derrumbó. Antes hacía falta un equipo y semanas de trabajo; hoy, como resume Dream en el análisis citado por CNN, "el costo de ejecutar un ataque competente se ha desplomado, pero el costo de defenderse no". Un competidor descontento, un extorsionador o un atacante oportunista ya no necesitan presupuesto para apuntarte.

Acciones concretas para esta semana:

• Audita credenciales y paneles expuestos. En el caso noruego, uno de los caminos al éxito fue un panel de control accesible públicamente; en los incidentes que documentó Transluce, los agentes reutilizaron claves de API expuestas. Rota llaves, cierra paneles de administración detrás de VPN o autenticación y borra entornos de prueba olvidados.
• Alerta por volumen, no solo por firma. Cientos de miles de solicitudes no son invisibles si tienes límites de tasa y alertas de picos. Las detecciones clásicas fallan cuando el ataque se disfraza de tráfico legítimo; los umbrales de volumen no.
• Revisa tus propias instancias de herramientas de IA. Cairn no fue diseñada para atacar, pero dos docenas de instancias quedaron expuestas y fueron usadas con fines maliciosos. Si tu equipo prueba agentes de código abierto, asegúrate de que no estén accesibles desde internet.
• Trata a tus agentes como superficie de ataque. La propia AEPD publicó una guía sobre agentes de IA para orientar el despliegue seguro, señalando que muchos incidentes nacen de configuraciones propias mal hechas más que de ataques externos. Si operas en la Unión Europea, además, las obligaciones de la directiva NIS2 aplican: cumplirla en papel y tener defensa real frente a agentes autónomos no son lo mismo, como demostró el caso de Adif y Renfe.

Conclusión

El titular que debería quedarse en la cabeza de cualquier founder es el precio: US$50 por intrusión exitosa, con agentes que trabajan 23 horas sin que nadie los vigile. La IA agéntica no solo cambia cómo se construyen productos; también cambió el costo de atacarlos. Revisar hoy quién puede tocar tus sistemas, con qué credenciales y con cuánta visibilidad sobre el tráfico, es una tarea de esta semana, no del próximo trimestre.

Fuentes

• df.cl: Cómo un hacker utilizó agentes de IA y unos pocos miles de dólares para vulnerar más de 100 empresas (fuente original)
• IBTimes: 'It's Not Script Kiddie Stuff': Hacker Reportedly Uses AI To Breach Corporate Sites for Just $50
• CNN: Hackers used autonomous AI agents to attack Taiwan. Is this the future of cyberwarfare?
• BleepingComputer: Autonomous AI agents tried to hack US, Canadian government websites
• WWWhatsnew: Un agente de IA atacó Adif y Renfe y se llevó 500 GB de datos
• El Mundo: Lorenzo Cotino (Agencia Española de Protección de Datos)
• Noticias de Navarra: Investigadores advierten sobre los peligros de los nuevos agentes autónomos de IA