Hacker vulnera 100 webs con agentes de IA a US$50 cada una

Un operador, dos docenas de paneles y 1.200 objetivos

Un atacante de habla china intentó vulnerar más de 1.200 sitios web de empresas y consiguió entrar en más de un centenar. El coste total en tokens de IA: unos US$5.000, es decir, aproximadamente US$50 por intrusión exitosa. Para un founder, la cifra que importa no es el monto, sino la proporción: el coste marginal de atacar tu tienda online acaba de desplomarse.

El hallazgo lo documentó Snorre Fagerland, investigador principal de amenazas de la firma de seguridad NorForge, que detectó la actividad al escanear internet en busca de instancias expuestas de Cairn, una plataforma de código abierto para orquestar agentes de IA. A partir de aproximadamente el 2 de octubre, identificó alrededor de dos docenas de instancias usadas con fines maliciosos. Como los paneles estaban abiertos y sin autenticación, pudo leer en tiempo real las instrucciones, las decisiones de los agentes y los resultados de cada explotación.

Las víctimas identificadas por Reuters tras revisar de forma independiente la actividad del atacante incluyen a Deere, SharkNinja y Cummins. Las tres compañías declararon que el daño fue limitado. Deere afirmó que tomó medidas de remediación y que no tiene indicios de acceso a información sensible; SharkNinja sostuvo que el ataque afectó a un sitio independiente de soporte de producto y que contuvo la amenaza; Cummins dijo que investigaba un posible ataque a un sitio gestionado por uno de sus proveedores. No se sabe qué volumen de datos, si alguno, fue exfiltrado.

¿Cómo operan los agentes de IA en un ataque real?

La parte que debería inquietar a cualquier equipo técnico es la asimetría de esfuerzo. El operador entregó instrucciones de menos de 100 caracteres en chino, esbozando tácticas de intrusión preferidas y pidiendo atacar tiendas de comercio electrónico reales en cuatro países. A partir de ahí, los agentes actuaron de forma prácticamente autónoma: exploraron los objetivos durante horas, probaron vulnerabilidades, ajustaron tácticas cuando algo fallaba y, al conseguirlo, establecieron acceso persistente, a menudo mediante la instalación de un web shell.

Según NorForge, una intrusión exitosa requería en promedio algo menos de 23 horas de sondeo continuo, y la tasa de éxito de las campañas observadas rondaba el 10%. Ese 10% suena bajo hasta que se multiplica por más de mil intentos lanzados en paralelo y sin coste humano adicional.

Los objetivos estaban en Estados Unidos, Canadá, Australia y Japón. En un caso documentado, la cadena de ataque pasó por acceso de escritura no autorizado a un almacén de sesiones memcached, manejo inseguro de objetos PHP serializados y una debilidad en código antiguo de Zend Framework. Cada víctima requirió una ruta distinta: no hay un método único que puedas parchear de una vez.

DeepSeek y Claude Code en la misma cadena de ataque

Todas las tareas de la campaña más activa corrieron bajo un worker llamado claudecode_deepseek-v4.1-flash, lo que apunta a un modelo DeepSeek V4.1 Flash operado a través de Claude Code de Anthropic. Ni el investigador ni Reuters confirmaron los modelos con certeza; Reuters solo señaló que la campaña parecía usar DeepSeek y Claude Code.

Ese detalle importa más de lo que parece. La combinación de modelos de distinto origen en una sola cadena complica la atribución y demuestra que la barrera técnica para montar una operación de este tipo ya no es tener acceso a un modelo puntero, sino saber orquestarlo. Cairn da a los agentes un punto de partida y un objetivo, y los deja avanzar paso a paso publicando hallazgos en un tablero compartido donde el humano añade pistas. Su autor, que firma como le1xia0, declaró a Reuters que la herramienta no fue diseñada para ataques y que el uso dañino no era su intención.

El contexto no es aislado. Según 20minutos, Anthropic detectó en 2025 una campaña internacional de ciberespionaje contra alrededor de 30 objetivos en la que Claude Code ejecutó de forma independiente entre el 80% y el 90% de las operaciones tácticas. Y en septiembre, Gambit Security reportó una campaña separada con al menos 27 empresas comprometidas y más de 600.000 registros de tarjetas de pago robados, según recoge The Deep Dive.

El fallo que casi nadie mira: los paneles abiertos filtran tus secretos

Hay un segundo problema, independiente de las intrusiones, que afecta directamente a empresas legítimas. Un panel de Cairn expuesto muestra a quién se está atacando, qué debilidades se encontraron y qué credenciales y claves fueron capturadas. NorForge pasó el escáner de secretos Trufflehog sobre los datos de los paneles y encontró cientos de secretos, de los cuales el 11% seguía siendo válido.

Peor aún: NorForge también encontró empresas de pentesting aparentemente legítimas que habían dejado pruebas reales de clientes en paneles sin asegurar, exponiendo los datos de sus clientes al mismo riesgo. Si contratas servicios de seguridad ofensiva, esto es una pregunta obligatoria en el proceso de compra.

¿Por qué esto cambia el cálculo para una startup?

La mayoría de las startups hispanohablantes no tiene un equipo de seguridad dedicado. Tiene un CTO que también hace producto, un backend en la nube y un equipo de dos a diez personas. Frente a un atacante que puede lanzar 1.200 intentos automatizados por US$5.000, la defensa artesanal basada en que alguien revise alertas cuando tenga tiempo no es una estrategia: es una apuesta.

El propio sector está reaccionando. Microsoft presentó Guardian Agents, una herramienta para vigilar a los agentes de IA corporativos tratándolos como amenazas internas, y su herramienta Defender ya identifica hasta 60 tipos distintos de agentes, incluidos Claude Code, Codex y OpenClaw, según La Razón. Su responsable de seguridad, Hayete Gallot, advirtió que "no se puede confiar en los modelos más avanzados, independientemente de su origen".

En España ya hay señales concretas: según 20minutos, la Agencia Española de Protección de Datos recibió la notificación de una brecha en la que el ataque habría sido ejecutado por un agente de IA que buscó vulnerabilidades, entró, modificó datos personales y accedió a facturas.

Qué significa esto para tu startup

1. Busca formularios de subida que no deberías tener. El objetivo declarado de estos agentes era plantar un web shell uploader: un formulario que guarda archivos, no uno que ejecuta comandos, pero que el atacante puede sustituir después por algo peor. Audita tu servidor en busca de formularios de carga inesperados en directorios ocultos. Es el punto de apoyo exacto que buscan.

2. Revisa si expones paneles de herramientas de IA en el puerto 8000. Los paneles de control de agentes de este tipo suelen responder en ese puerto. Si tienes una instancia de Cairn, Langflow, n8n o similar accesible desde internet sin login, la estás regalando. Comprueba también si tus propios escaneos de seguridad dejaron credenciales de clientes en un panel abierto.

3. Si vendes online, parchea Magento ya. Un directorio de worker que NorForge inspeccionó contenía una prueba de concepto de una falla crítica de Magento llamada StyleSmuggler (CVE-2026-75650). No hay evidencia de que se usara en estas intrusiones, pero el hotfix de Adobe cubre Adobe Commerce 2.4.4 a 2.4.9 y Magento Open Source 2.4.6 a 2.4.9. Si tu tienda corre en una de esas versiones, aplicarlo no es opcional.

4. Mide tu tiempo de respuesta, no solo tu cobertura. Con agentes que sondean durante 23 horas seguidas, la pregunta relevante deja de ser "¿tenemos firewall?" y pasa a ser "¿cuánto tardamos en detectar y contener?". Define ese número, ponlo por escrito y practícalo.

Conclusión

El caso de NorForge no describe una IA que se rebela: describe a una persona con un objetivo y una herramienta barata que hace el trabajo pesado. Eso es más mundano y mucho más replicable. La lección para un founder no es comprar la última solución de moda, sino asumir que el adversario ya opera a velocidad de máquina y ajustar tres cosas concretas: superficie expuesta, velocidad de parcheo y tiempo de detección. Con US$50 por intento exitoso, la pregunta ya no es si alguien probará con tu infraestructura, sino cuándo.

Fuentes

• Area Cucuta — Un hacker usa agentes de IA para vulnerar más de 100 sitios web
• The Hacker News — Hackers Use Autonomous AI Agents to Breach Company Websites
• The Deep Dive — AI Hackers Expose Their Own Operations During Corporate Intrusions
• 20minutos — Mientras duermes, un agente de IA puede estar buscando cómo entrar
• La Razón — Microsoft lanza Guardian Agents para vigilar a los agentes de IA