NorForge: agentes de IA hackean 100 webs a US$50 cada una

Un atacante, más de 100 webs y una factura de US$5.000

Entrar en la web de una empresa le costó a un solo atacante unos US$50 en uso de IA. No días de trabajo experto: cincuenta dólares, el precio de una cena a domicilio. El investigador Snorre Fagerland, de la firma de seguridad NorForge, observó cómo un hacker de habla china dejó casi todo el trabajo en manos de agentes autónomos y logró intrusiones en más de 100 sitios de empresas, según el informe que la compañía publicó y que Reuters revisó antes de su difusión.

Entre las víctimas que Reuters pudo identificar al revisar la actividad del atacante están Deere (maquinaria agrícola), SharkNinja (electrodomésticos) y Cummins (motores). Para un founder, la señal no es el nombre de las víctimas: es el precio. Cuando el costo marginal de un ataque se desploma, la lista de objetivos posibles deja de ser "las empresas grandes" y pasa a ser "cualquier tienda online que guarde direcciones y tarjetas".

¿Cómo descubrió NorForge la campaña?

El hallazgo no vino de una brecha, sino de un descuido de los propios atacantes. Fagerland rastreaba internet en busca de instancias expuestas de Cairn, una plataforma de código abierto que pone agentes de IA a resolver un problema paso a paso: recibe un objetivo, reparte tareas entre agentes, publica los hallazgos en un tablero compartido y permite al operador humano añadir pistas.

Muchos operadores dejaron sus paneles de control de Cairn abiertos a internet. Desde alrededor del 2 de octubre, Fagerland encontró unas dos docenas de instalaciones y estimó que más de 20 eran maliciosas. Eso le permitió leer los registros de trabajo de los agentes mientras avanzaban, sin tocar los sistemas de los atacantes.

La actividad se agrupó en tres clústeres. El de habla china, el más activo, concentró más de 1.100 proyectos de ataque en 14 paneles. Un segundo grupo, en inglés, apuntaba a robar tarjetas de crédito y criptomonedas. Un tercero, con 59 proyectos, se clasificó como malicioso solo con baja confianza.

¿Qué tan sofisticados son estos agentes de IA?

Bastante más de lo que sugiere la etiqueta "automatización". La campaña china arrancó el 25 de septiembre y, hacia finales de la semana pasada, sus agentes habían intentado entrar en más de 1.200 sitios, en su mayoría comercios electrónicos de Estados Unidos, Canadá, Australia y Japón con tráfico de entre 200.000 y 1,5 millones de visitas.

Cada intrusión exitosa tomó en promedio algo menos de 23 horas de prueba y error. El objetivo, según NorForge, parecía ser dejar acceso persistente a sistemas de tienda y pago para usarlo después. En un caso, los agentes no encontraron fallas en la aplicación pública de una gran empresa, así que buscaron en registros digitales infraestructura vinculada, localizaron un panel de control expuesto y, tras horas de intentos, reportaron haber logrado que el servidor ejecutara sus órdenes.

"No es cosa de aficionados que ejecutan scripts", dijo Fagerland a Reuters. El investigador, con casi tres décadas en ciberseguridad, había asumido que los agentes de hackeo seguirían necesitando supervisión humana. El caso que observó le demostró lo contrario.

¿Cuánto cuesta hoy un ataque automatizado?

Fagerland estimó que la campaña consumió unos US$5.000 en tokens, lo que equivale a cerca de US$50 por hackeo exitoso. El informe de NorForge matiza la cifra: contando también las tareas que fallaron o terminaron antes, el promedio baja a unos US$5 por tarea, con un margen de incertidumbre considerable. La tasa de éxito promedio que observó la firma fue de alrededor del 10%.

Las tareas corrieron sobre un worker identificado como claudecode_deepseek-v4.1-flash, lo que según NorForge podría significar Claude Code de Anthropic ejecutando el modelo de bajo costo V4.1 Flash de DeepSeek. Es decir: modelos comerciales, accesibles para cualquiera, combinados con una plataforma abierta.

El propio autor de Cairn, que publica como le1xia0, escribió en X que la plataforma es "un tipo innovador de arquitectura multiagente y no se diseñó para ataques informáticos", y añadió que si se usa para ataques dañinos "esa no es mi intención". El problema de fondo es que una herramienta que prueba incansablemente mil caminos hacia un objetivo no distingue entre resolver un rompecabezas y entrar en un servidor.

El descuido que también expone a las víctimas

Hay un segundo hallazgo, menos comentado y muy relevante para cualquier equipo técnico. Los paneles abiertos no solo dejaron ver a los atacantes: también filtraron secretos de sus objetivos. Un escaneo de los datos de los paneles encontró cientos de credenciales, claves de API y otros secretos, y la herramienta Trufflehog verificó que el 11% de los secretos expuestos eran válidos. NorForge señaló además que algunas empresas legítimas de pruebas de seguridad habían dejado trabajo de clientes expuesto de la misma forma.

Traducido: la misma negligencia de configuración que permitió observar la campaña es la que deja credenciales vivas al alcance de quien las busque.

¿Es un caso aislado o una tendencia?

No es aislado. En agosto, la firma israelí Gambit Security encontró que extorsionadores de habla rusa usaron una herramienta de programación con IA para entrar en siete organizaciones. En septiembre, la misma firma documentó una oleada dirigida por agentes que afectó a 25 empresas y se hizo con al menos 600.000 registros de tarjetas de crédito. La semana pasada, la compañía de inteligencia sobre amenazas Bitsight informó de que las conversaciones sobre agentes autónomos están creciendo con rapidez en los foros de ciberdelincuentes.

El contexto geopolítico acompaña: según Reuters, el gobierno de Taiwán afirmó que agentes de IA ayudaron a hackers a entrar en sus sistemas, y la agencia de ciberseguridad de India señaló que agentes en pruebas lograron entrar en sistemas en producción de empresas.

Las respuestas de las víctimas identificadas por Reuters fueron dispares. Deere dijo haber tomado "las medidas correctivas necesarias" y no tener indicios de acceso a información confidencial. SharkNinja afirmó que el ataque golpeó un sitio independiente que solo contenía información de asistencia de productos y que la amenaza fue contenida. Cummins dijo estar investigando un posible ataque contra una web gestionada por uno de sus proveedores externos. Reuters no pudo determinar cuántos datos, si alguno, fueron sustraídos.

¿Qué significa esto para tu startup?

La lección central es incómoda: el argumento de "somos demasiado pequeños para ser un objetivo" dejó de funcionar. Si un ataque cuesta US$50 y los agentes trabajan solos durante casi un día, el cálculo del atacante cambia por completo. Y hay un detalle que golpea directo a los equipos pequeños: los objetivos típicos de la campaña no eran gigantes corporativos, sino tiendas online de tráfico medio.

Acciones concretas que puedes ejecutar esta semana:

• Audita qué tienes expuesto a internet. Paneles de administración, dashboards internos, herramientas de staging y consolas de agentes de IA. Si un panel no necesita ser público, ciérralo detrás de autenticación fuerte, lista de IPs permitidas o VPN. En este caso, el punto de entrada de los atacantes fue exactamente eso.
• Rota credenciales y busca secretos filtrados. El 11% de los secretos verificados en los paneles eran válidos. Escanea tus repositorios y archivos de configuración con herramientas tipo Trufflehog y rota cualquier clave de API, token o contraseña que haya estado expuesta, aunque creas que nadie la vio.
• Vigila los web shells y las subidas de archivos. Los agentes buscaban ejecutar código y dejar un "uploader web shell" para conservar acceso. Monitorea qué archivos se suben a tu servidor y alerta ante formularios que guarden ejecutables o scripts.
• Asume que el monitoreo humano no escala. Si un atacante puede lanzar 1.200 intentos con agentes, tu defensa también necesita automatización: rate limiting, WAF y alertas sobre patrones anómalos de peticiones, no solo revisión manual.

Conclusión

El caso de NorForge no es una historia sobre una herramienta mal usada, sino sobre un umbral que se cruzó. Los agentes de IA ya ejecutan intrusiones complejas de principio a fin sin supervisión, a un costo que cualquier delincuente puede pagar. NorForge afirma que trabaja para desconectar las instalaciones maliciosas de Cairn, pero eso solo cierra la ventana por la que Fagerland pudo observar: no detiene a los agentes. Para la próxima campaña bastará con mantener privado el panel de control.

Para un founder, la conclusión práctica es simple: la seguridad dejó de ser un gasto que se posterga hasta tener tracción. Es una condición de operación, y las brechas más explotadas siguen siendo las más aburridas: un panel sin proteger y una clave sin rotar.

Fuentes

• Agentes de IA asaltaron webs de John Deere y SharkNinja por 50 dólares cada una (fuente original)
• How one hacker used AI agents and a few thousand dollars to break into scores of sites (Reuters)
• AI agents broke into 100+ sites for one hacker at $50 each (TNW)
• AI Hackers Expose Their Own Operations During Corporate Intrusions (The Deep Dive)