Un hacker usó agentes de IA para vulnerar más de 100 webs

Un atacante, cero código: así trabajaron los agentes de IA

Un ciberdelincuente que se comunica en chino vulneró los sitios web de más de 100 empresas en menos de un mes y ejecutó casi ninguna tarea técnica por su cuenta. Delegó el trabajo a agentes de inteligencia artificial y gastó cerca de 5.000 dólares en tókenes para completar la operación, según la investigación de Snorre Fagerland, investigador principal de la firma de ciberseguridad NorForge, reportada por Reuters. Para un founder, la lectura es incómoda: el costo de lanzar un ataque sofisticado contra un e-commerce ya no depende de cuántos especialistas pueda reunir el atacante, sino de cuántos tókenes pueda comprar.

La campaña se detectó porque los propios atacantes dejaron sus paneles de control abiertos en internet. Fagerland los encontró mientras rastreaba instalaciones expuestas de Cairn, un motor de IA de código abierto diseñado para resolver problemas complejos de forma autónoma. Halló alrededor de dos docenas de estas instalaciones usadas con fines maliciosos, lo que le permitió observar en tiempo real una operación cibercriminal activa, según The Hacker News.

El problema que el atacante planteó a la herramienta fue concreto: cómo ejecutar código en un sitio web sin necesidad de iniciar sesión. Los agentes probaron inyección SQL, carga de archivos maliciosos y explotación de un manejo inseguro de objetos almacenados. El objetivo final, de acuerdo con el investigador, era establecer un acceso persistente a sistemas de pago y comercio electrónico que luego pudieran usarse para sustraer dinero.

¿Qué es Cairn y por qué resulta atractivo para atacantes?

Cairn no fue concebido como una herramienta ofensiva. Se trata de un marco de trabajo de propósito general que define objetivos, explora distintos enfoques y ejecuta acciones hasta alcanzar una solución. El autor de la herramienta, que publica bajo el alias "le1xia0", declaró a Reuters que no fue diseñada para ataques de hacking y que el uso dañino no fue su intención.

NorForge agrupó los paneles expuestos en tres clústeres y consideró más de 20 como probablemente maliciosos. El más activo, al que la firma llama AIA0001, opera en chino y vincula 14 paneles con más de 1.100 proyectos de ataque, según The Hacker News. Todas las tareas de ese clúster corrieron bajo un worker llamado claudecode_deepseek-v4.1-flash, lo que podría apuntar a un modelo DeepSeek V4.1 Flash operado desde Claude Code, de Anthropic. Ni el investigador ni Reuters confirmaron los modelos con certeza.

Las instrucciones que recibían los agentes eran mínimas: generalmente menos de 100 caracteres en chino. Con esas órdenes escuetas, los sistemas automatizados intentaron penetrar más de 1.200 sitios web. En promedio, dedicaban unas 23 horas a explorar las vulnerabilidades de cada sitio antes de lograr el acceso o abandonar el intento. La tasa de éxito general que observó NorForge rondó el 10%, aunque la firma advirtió que los clústeres persiguen objetivos distintos y no son directamente comparables.

Las víctimas identificadas: Deere, SharkNinja y Cummins

El informe de Cybersecurity News señaló que las víctimas eran principalmente tiendas en línea de Estados Unidos, Canadá, Australia y Japón. Reuters logró confirmar algunos objetivos mediante la revisión independiente de la actividad del hacker en Cairn: entre ellos figuran Deere, fabricante de maquinaria agrícola; SharkNinja, empresa de electrodomésticos, y Cummins, fabricante de motores. Dos empresas de menor tamaño también reconocieron haber sido comprometidas.

Deere informó a Reuters que tomó las medidas de remediación necesarias y aseguró que no había indicios de que se hubiera accedido a información sensible. SharkNinja precisó que la vulneración afectó a un sitio independiente que solo contenía información de soporte de productos, y que la amenaza ya fue resuelta. Cummins se limitó a señalar que estaba revisando los reportes.

Hasta el momento no se sabe con certeza si el atacante logró robar información sensible, ni en qué magnitud. Fagerland afirmó haber encontrado cientos de credenciales expuestas en paneles abiertos y dijo estar trabajando junto con Reuters para notificar a las empresas afectadas.

¿Cuánto cuesta hoy una brecha automatizada?

El cálculo de costos es la parte más incómoda del reporte. NorForge estimó un promedio de alrededor de 5 dólares por tarea, contando intentos fallidos o interrumpidos, y aclaró que la incertidumbre es considerable. Fagerland calculó por separado que la campaña completa consumió unos 5.000 dólares en tókenes, lo que equivale a cerca de 50 dólares por brecha exitosa. Es una estimación, no una cifra de facturación confirmada.

Hay un segundo problema, independiente de las intrusiones: dejar un panel de Cairn expuesto filtra los secretos de las víctimas. Los paneles muestran a quién se está atacando, qué debilidades se encontraron y qué credenciales y claves se extrajeron. NorForge pasó el escáner de secretos Trufflehog sobre los datos de los paneles y encontró cientos de secretos, de los cuales 11% seguía siendo válido. La firma también halló empresas de pentesting aparentemente legítimas que habían dejado pruebas reales de clientes en paneles sin asegurar.

El patrón se repite: India, Anthropic y el resto del sector

Este caso no es un episodio aislado. La agencia de ciberseguridad de India, CERT-In, emitió el 15 de octubre una alerta crítica titulada "AI Agents as Attack Vectors", en la que reportó que agentes autónomos accedieron a sistemas en producción de organizaciones indias sin autorización, y que ninguna de las afectadas detectó el acceso por su cuenta, según Anadolu. En esa campaña, las herramientas agénticas redujeron la ventana entre el acceso inicial y el impacto final de días a unas pocas horas, y las víctimas que arreglaron solo parcialmente las fallas fueron atacadas de nuevo en cuestión de días.

Anthropic publicó su propio informe de inteligencia de amenazas, "Detecting and countering misuse of AI: September 2026", donde describe el cambio de fondo: la IA dejó de ser un asistente para tareas puntuales y pasó a orquestar varias etapas del ataque, desde el reconocimiento hasta el mantenimiento del acceso y la exfiltración, según CIOL. La compañía advirtió además sobre un posible "bucle cerrado" en el que los atacantes reconstruyen su malware cuando los defensores lo detectan, a una velocidad que estos últimos no pueden igualar.

¿Qué significa esto para tu startup?

Si tu startup vende online, maneja pagos o tiene un panel de administración accesible desde internet, este reporte te aplica directamente. La buena noticia es que las recomendaciones de los especialistas son concretas y baratas.

• Parchea las aplicaciones de cara al público. Los agentes de este caso buscaban formas de ejecutar código en tiendas en línea. NorForge halló en un directorio de trabajo una prueba de concepto para una falla crítica de Magento, StyleSmuggler (CVE-2026-75650), y un laboratorio de pruebas. No hay evidencia de que se usara en estas intrusiones, pero cualquier tienda en una versión afectada debería aplicar el hotfix de Adobe: Adobe Commerce 2.4.4 a 2.4.9 o Magento Open Source 2.4.6 a 2.4.9.
• Restringe el acceso a los paneles de administración. Un panel de control expuesto sin login es una puerta abierta. Los paneles de agentes de este tipo suelen responder en el puerto 8000: vale la pena revisar si tienes algo así publicado.
• Vigila archivos inesperados en tus directorios. El objetivo típico de estos agentes era plantar un formulario de carga de archivos (un web shell uploader) en un directorio oculto. Un formulario de subida que nadie recuerda haber creado es una señal de alarma.
• Aísla a tus propios agentes de IA. CERT-In recomendó restringir el acceso a internet de los agentes autónomos, probarlos en entornos simulados en lugar de sistemas en vivo, aplicar reglas de denegación por defecto y exigir aprobación humana antes de cualquier acción irreversible. Si tu startup ya usa agentes para tareas internas, ese aislamiento no es opcional.
• Retén los logs. CERT-In sugirió conservar los registros de seguridad al menos 180 días para poder detectar e investigar incidentes. En este caso, ninguna organización india detectó el acceso por su cuenta: lo supieron porque el proveedor del modelo lo reveló tras una revisión interna.

El cambio de fondo es de escala, no de técnica. Kaspersky señaló que las cuentas válidas, las aplicaciones públicas y las relaciones de confianza fueron el punto de entrada de más del 80% de los ataques que investigó en 2025, y que la IA permite explotar esos caminos más rápido que antes. Traducido a tu operación: las brechas que te pueden afectar probablemente ya existen en tu configuración, y ahora hay un actor automatizado que las busca durante 23 horas sin cansarse.

Fuentes

• Infobae: Un solo hacker usó agentes de IA para infiltrarse en más de 100 sitios web de empresas
• The Hacker News: Hackers Use Autonomous AI Agents to Breach Company Websites
• Townhall: This Hacker Let His Rogue AI Program Do All the Work
• Chosun Biz: AI-powered hacker breaches 100+ firms worldwide
• Anadolu: AI agents accessed Indian computer systems without authorization
• Rediff: CERT-In issues critical alert on AI agents accessing systems
• CIOL: Anthropic Report Warns AI Is Enabling More Autonomous Cyberattacks