Un atacante, 1.200 objetivos y más de 100 brechas en menos de un mes
US$50. Ese es el costo estimado en tokens de inteligencia artificial de cada intrusión exitosa en la campaña que comprometió más de 100 sitios web corporativos en menos de un mes, según la investigación de Snorre Fagerland, especialista de la firma de seguridad NorForge. Para un founder, la cifra no es una curiosidad de laboratorio: es el nuevo precio de mercado de entrar a tu infraestructura.
El atacante, un operador de habla china, no escribió exploits ni mantuvo una conversación con un modelo. Delegó el trabajo en agentes autónomos construidos sobre Cairn, un framework multiagente de código abierto. Las instrucciones que les dio ocupaban menos de 100 caracteres en chino. A partir de ahí, los agentes probaron vectores por su cuenta.
El alcance: más de 1.200 sitios apuntados, con objetivos en Estados Unidos, Canadá, Australia y Japón. El propósito final, según NorForge, era establecer acceso persistente a sistemas de pago para sustraer fondos después.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días¿Qué es Cairn y por qué su diseño agéntico cambia el cálculo?
Cairn no es un malware. Es una arquitectura para coordinar agentes: se le da un objetivo, los agentes exploran enfoques, publican hallazgos en un tablero compartido y el operador humano puede ir dejando pistas en el camino. Fue pensado para pruebas de penetración autorizadas y otros trabajos legítimos. Su autor, que firma como le1xia0, dijo a Reuters que la herramienta no fue diseñada para atacar y que el uso dañino no responde a su intención.
La diferencia con la automatización clásica está en la persistencia. Un escáner ejecuta una secuencia fija. Estos agentes planificaron, iteraron y se mantuvieron trabajando durante sesiones largas. El promedio hasta conseguir acceso fue de casi 23 horas por sitio. La tasa de éxito global ronda el 10%, aunque NorForge advirtió que los distintos grupos perseguían objetivos diferentes y no son directamente comparables entre sí.
Un caso documentado muestra el patrón: los agentes no encontraron fallas en la aplicación pública de una gran empresa, así que pivotearon, buscaron infraestructura relacionada, localizaron un panel de control accesible desde internet y explotaron una debilidad en el manejo de objetos almacenados hasta conseguir ejecución de comandos. Cada víctima tuvo su propia cadena. No hay un método único que puedas parchear de una vez y cerrar el tema.
¿Cuánto cuesta hackear una empresa en 2026?
Aquí está el dato que debería mover presupuestos. NorForge estimó el costo promedio en unos US$5 por tarea, contando intentos fallidos y abandonados, y Fagerland calculó el total de la campaña en cerca de US$5.000 en tokens, equivalente a unos US$50 por brecha exitosa. Los modelos usados parecen haber sido DeepSeek y Claude Code; ni el investigador ni Reuters confirmaron la combinación exacta.
Del otro lado del mostrador, el IBM Cost of a Data Breach 2026 sitúa el costo promedio de una brecha en US$4,65 millones en América Latina, con unos 40.300 registros comprometidos por incidente, según recogió Revista Mercado. El mismo informe señala que cerca del 19% de los ataques maliciosos ya se genera con inteligencia artificial.
La asimetría es brutal: US$50 contra millones. Y el estudio de IBM agrega un matiz relevante para quien está decidiendo dónde invertir: las empresas latinoamericanas con adopción amplia de IA y automatización en seguridad registraron un costo promedio de US$4,04 millones, frente a US$5,64 millones en las que no cuentan con esas capacidades.
Las víctimas confirmadas y qué dijo cada una
Reuters identificó a las empresas afectadas revisando los propios registros del atacante. Entre las confirmadas están Deere (maquinaria agrícola), SharkNinja (electrodomésticos) y Cummins (motores).
- Deere dijo haber aplicado medidas de remediación y no tener indicios de acceso a información sensible.
- SharkNinja precisó que el ataque afectó un sitio independiente de soporte de productos y que la amenaza fue contenida.
- Cummins indicó que investigaba un posible ataque a un sitio operado por un proveedor externo.
Dos empresas más pequeñas también confirmaron compromisos. No hay confirmación pública de robo de datos sensibles en estos casos, y esa distinción importa: acceso no autorizado a un sitio no equivale a exfiltración de registros de clientes.
El panel de control expuesto: el error que destapó todo
La operación se conoció porque los atacantes dejaron sus paneles de Cairn abiertos a internet. Fagerland los encontró escaneando la red desde alrededor del 2 de octubre y agrupó más de veinte instancias como probablemente maliciosas.
Eso no es solo un problema para el atacante. Los paneles muestran a quién se está atacando, qué debilidades se encontraron y qué credenciales se obtuvieron. NorForge pasó el escáner Trufflehog sobre esos datos y encontró cientos de secretos, de los cuales el 11% seguía siendo válido. También halló firmas de pentesting legítimas que habían dejado pruebas reales de clientes en paneles sin proteger.
La lección se traslada directo a tu stack: si estás desplegando agentes de IA con acceso a sistemas externos, el panel de orquestación es infraestructura crítica, igual que un servidor de producción.
¿Qué significa esto para tu startup?
No necesitas ser Deere para estar en la lista. Necesitas tener un sitio con formularios, sesiones y un backend que ejecuta código. Eso es casi cualquier startup con producto web.
1. Busca formularios de carga que no deberías tener. Los agentes apuntaban a plantar un uploader de web shell: un formulario que guarda archivos y que después se puede convertir en ejecución de comandos. Revisa directorios ocultos y cualquier endpoint de subida que no esté inventariado. Si aparece uno que nadie del equipo reconoce, es un incidente, no una curiosidad.
2. Cierra los paneles de agentes y herramientas internas. Los paneles de Cairn solían responder en el puerto 8000. Cualquier dashboard de orquestación, consola de automatización o entorno de staging expuesto sin autenticación es una puerta abierta. Aísla la red, exige login, registra acciones y pon aprobación humana antes de que un agente toque sistemas externos.
3. Parchea lo aburrido primero. En el directorio de trabajo que NorForge inspeccionó había una prueba de concepto para StyleSmuggler (CVE-2026-75650), una falla crítica de Magento. No hay evidencia de que se usara en estas brechas, pero el aviso es claro: si tu tienda corre Adobe Commerce 2.4.4 a 2.4.9 o Magento Open Source 2.4.6 a 2.4.9, aplica el hotfix de Adobe. El informe de IBM refuerza el punto: solo el 18% de las empresas usa agentes automatizados para gestión de vulnerabilidades, mientras más de la mitad ya los emplea para detección de amenazas.
4. Rota secretos, no solo parches. Si tu sitio fue testeado por un agente en una instancia abierta, tus claves pueden estar en un tablero ajeno. Rota credenciales de sesión, tokens de API y accesos a base de datos como parte del plan de respuesta, no como tarea de fin de trimestre.
El antecedente que anticipó esta campaña
No es un caso aislado. En septiembre, Gambit Security documentó una campaña distinta en la que un criminal usó Cairn junto a otras dos herramientas de IA para robar tarjetas de crédito, con más de 600.000 registros de tarjetas de pago sustraídos, según reportó The Deep Dive. La firma ReliaQuest documentó por su parte otro ataque con Cairn en el que un panel de control sin autenticación permitió cientos de comandos en 24 horas hasta obtener acceso administrativo.
Ninguna fuente vincula ambas operaciones entre sí. Pero el patrón se repite: el framework es el mismo, el costo es bajo y la supervisión humana es mínima. Cuando una herramienta legítima de pruebas de seguridad cae en manos equivocadas, el margen de error de la víctima se mide en horas, no en semanas.
Conclusión
La barrera técnica para lanzar una campaña de intrusión a escala se movió de lugar. Ya no hace falta un equipo especializado ni un exploit propio: hace falta un objetivo, un framework de agentes y unos dólares en tokens. La misma automatización que reduce tus costos operativos está reduciendo los del adversario, y esa simetría es la que hay que gestionar.
Para un founder, la prioridad no es comprar la herramienta de moda en seguridad. Es saber qué tienes expuesto, quién puede ejecutar código en tu backend y cuánto tardarías en detectar un formulario de carga que apareció en un directorio que nadie revisa.
Fuentes
- NEO — Agentes de IA autónomos comprometen más de cien sitios corporativos
- The Hacker News — Hackers Use Autonomous AI Agents to Breach Company Websites
- Gadget Review — One Hacker Used AI Agents to Break Into John Deere, SharkNinja, and Cummins
- The Deep Dive — AI Hackers Expose Their Own Operations During Corporate Intrusions
- ITSitio — Un hacker usó agentes de IA y US$5.000 para atacar más de 100 empresas
- Revista Mercado — Ciberataques en América Latina: cada filtración cuesta US$4,65 millones
- IBM — Informe Cost of a Data Breach 2026
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
