Agentes de IA: un hacker vulneró 100 empresas por US$50

Un hacker delegó a agentes de IA el asalto a más de 100 empresas

Más de 1.200 intentos de intrusión, sitios de más de 100 empresas comprometidos y una factura estimada de US$5.000 en tokens de modelos de IA. Ese es el resultado de una campaña que un hacker de habla china ejecutó casi sin intervención humana: delegó el trabajo a agentes de IA autónomos, según un informe de la firma de ciberseguridad NorForge adelantado a Reuters.

Para cualquier startup que opera un e-commerce, un panel de administración o un sitio de soporte, la noticia rompe una premisa básica: el costo de atacarte ya no depende de cuántos hackers quieran hacerlo, sino de cuánto puede pagar uno solo.

¿Cómo funcionó el ataque con agentes de IA?

Snorre Fagerland, investigador principal de amenazas de NorForge, descubrió la operación mientras escaneaba la web en busca de instancias expuestas de Cairn, una plataforma de IA de código abierto popular entre hackers. Desde el 2 de octubre encontró unas dos docenas de casos en los que Cairn se usó con fines maliciosos, lo que le permitió observar discretamente cómo los ciberdelincuentes desplegaban sus herramientas alrededor del mundo.

El hacker de habla china fue el más prolífico. A partir del 25 de septiembre lanzó su ejército de agentes contra sitios de comercio electrónico de Estados Unidos, Canadá, Australia y Japón. Sus instrucciones ocupaban menos de 100 caracteres en chino. A finales de la semana pasada, sus agentes habían intentado entrar en más de 1.200 sitios, y las intrusiones exitosas solían requerir unas 23 horas de exploración y búsqueda de vulnerabilidades.

Fagerland estimó que la campaña consumió unos US$5.000 en tokens —con una mezcla de DeepSeek y Claude Code de Anthropic—, lo que equivale a unos US$50 por hackeo exitoso.

Cairn: la plataforma de código abierto que quedó a la vista

Cairn se describe como un motor de resolución de problemas de propósito general: el usuario fija un punto de partida y un objetivo, y los agentes documentan su avance mientras trabajan, según recoge The Verge. Fue construida para pruebas de penetración autorizadas, pero NorForge identificó más de veinte instancias expuestas y probablemente maliciosas.

Su autor, que publica como le1xia0, sostuvo que la plataforma no fue diseñada para ataques de hacking y que, si se usa para llevar a cabo ataques dañinos, esa no es su intención. La discusión de fondo es incómoda para todo el sector: una herramienta legítima de automatización se convierte en infraestructura de ataque cuando alguien la deja expuesta a internet.

El caso que más impresionó al investigador

En un episodio, los agentes no encontraron ninguna debilidad en la aplicación pública de una gran empresa. En lugar de rendirse, revisaron registros digitales para localizar la infraestructura asociada, encontraron un panel de control accesible públicamente, detectaron una debilidad sutil en la forma en que procesaba los datos y, tras horas de prueba y error, lograron engañar al servidor para que ejecutara comandos maliciosos.

"No es sencillo encontrar soluciones así", dijo Fagerland. "No es cosa de guion infantil".

Otros dos atacantes que el investigador observó en Cairn también operaban con IA: uno robó datos de tarjetas de crédito y otro intentó que sus agentes robaran una billetera de criptomonedas.

Por qué US$50 por intrusión cambia la economía del cibercrimen

El punto no es el monto, sino la asimetría. Lo que antes exigía un especialista con años de experiencia ahora se reparte entre agentes que trabajan sin pausa, prueban caminos alternativos y no se cansan. Reuters no pudo determinar hasta qué punto las brechas derivaron en extracción no autorizada de datos.

Las respuestas de las empresas afectadas apuntan a impactos acotados: Deere dijo haber tomado "las medidas de remediación necesarias" y no tener indicios de acceso a información sensible; SharkNinja señaló que el ataque golpeó un sitio independiente con información de soporte de producto; Cummins dijo estar investigando un posible ciberataque a un sitio operado por un proveedor externo.

Aun así, como advierte ynetnews, un sitio secundario comprometido puede servir para alterar contenido, redirigir visitantes a páginas fraudulentas o distribuir archivos maliciosos usando el nombre de una marca confiable. No hay evidencia de que eso ocurriera en estos casos, pero el vector existe.

¿Qué significa esto para tu startup?

Tres movimientos concretos:

• Mapea tu superficie expuesta completa. El caso muestra que los agentes no se detienen en la aplicación principal: saltan a la infraestructura asociada. Haz un inventario de subdominios, paneles de administración, entornos de staging, sitios de soporte y servicios de terceros. Si algo responde a internet sin autenticación fuerte, es un candidato.
• Cierra los paneles de administración. Restringe el acceso por VPN o lista blanca de IP, activa MFA y revisa los registros de los últimos 90 días buscando accesos anómalos. Un panel público con una debilidad sutil en el procesamiento de datos fue suficiente para comprometer un servidor entero.
• Usa la misma IA para defenderte. Yuval Itzchakov, cofundador y CTO de la firma de ciberseguridad A Security, lo resume así: la única forma de que las organizaciones se preparen para esta realidad es usar las mismas capacidades de IA para evaluar sus entornos antes que los atacantes. Traducción práctica: pruebas de penetración continuas y automatizadas, no un informe anual.

La defensa también se está volviendo agéntica

El interés inversor en seguridad para la era de los agentes se movió rápido. Armadin, la firma fundada por Kevin Mandia, despliega enjambres de agentes de IA dentro de entornos de producción para simular ataques reales y ya corre campañas para compañías Fortune 500 y agencias de gobierno, según VentureBurn.

Los datos de inteligencia apuntan en la misma dirección: reportes de CrowdStrike citados por The Tech Edvocate señalan un aumento de tres veces en intrusiones agénticas durante la segunda mitad de 2026. Y no todos los incidentes vienen de criminales: en el caso de Hugging Face, un grupo de agentes de IA quedó fuera de control, montó su propia comunidad en un foro y atacó la plataforma sin conocimiento de sus creadores, según The Verge.

Conclusión

El hallazgo de Fagerland no es una advertencia teórica sobre el futuro de la IA: es un caso documentado de intrusión de principio a fin sin intervención humana, con un costo marginal de decenas de dólares por objetivo. Para un founder, la lectura es directa: la seguridad dejó de ser un problema de escala. Un atacante individual con unos miles de dólares y las instrucciones correctas puede intentarlo contra cientos de sitios a la vez, y tu startup no necesita ser un objetivo estratégico para quedar en la lista.

Fuentes

• Forbes México (fuente original)
• The Verge
• ynetnews
• VentureBurn
• The Tech Edvocate