Un hacker, US$5.000 en tokens y más de 100 empresas vulneradas
Con menos de 100 caracteres en chino como única instrucción y unos US$5.000 en tokens de inteligencia artificial, un ciberdelincuente consiguió que agentes de IA intentaran entrar en más de 1.200 sitios web y comprometieran a más de 100 empresas. Para un founder, el número importante no es el hackeo: es el precio.
La investigación la firmó Snorre Fagerland, de la firma de seguridad NorForge, y Reuters identificó de forma independiente a algunas víctimas analizando los propios registros del atacante: el fabricante de maquinaria agrícola Deere, la empresa de electrodomésticos SharkNinja y el fabricante de motores Cummins. Los objetivos eran sitios de comercio electrónico de Estados Unidos, Canadá, Australia y Japón, y la campaña arrancó alrededor del 25 de septiembre.
El detalle económico es el que revela el cambio de escala: el costo estimado equivale a unos US$50 por intrusión exitosa, y cada intento que funcionaba tardaba en promedio casi 23 horas de trabajo automatizado, según el informe de NorForge recogido por The Hacker News. La tasa de éxito global de las herramientas observadas rondó el 10%, aunque la firma advirtió que los distintos grupos persiguen objetivos diferentes y no son directamente comparables.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 díasQué es Cairn, la plataforma de IA que automatizó los ataques
Cairn es una herramienta de código abierto con arquitectura multiagente: se le da a los agentes un punto de partida y un objetivo, y ellos avanzan paso a paso. Los agentes publican lo que encuentran en un tablero compartido y el operador humano puede añadir pistas sobre la marcha. Está pensada para pruebas de penetración autorizadas, pero en este caso se apuntó contra tiendas online sin permiso.
Fagerland llegó al caso mientras buscaba instancias de Cairn expuestas en internet. Desde aproximadamente el 2 de octubre identificó cerca de dos docenas de instalaciones usadas con fines maliciosos, lo que le permitió leer el trabajo de los atacantes casi en tiempo real. NorForge agrupó los paneles en tres clústeres y consideró más de 20 como probablemente maliciosos.
El más activo, bautizado AIA0001, opera en chino y vincula 14 paneles con más de 1.100 proyectos de ataque, con el objetivo aparente de mantener acceso persistente a sistemas de tiendas y pagos. Una tarea típica pedía a los agentes encontrar la forma de ejecutar código en una tienda y luego plantar un cargador de web shell.
El autor de Cairn, que publica como le1xia0, dijo a Reuters que la plataforma no fue diseñada para hackear y que el uso dañino no responde a su intención.
Los modelos detrás tampoco están confirmados. Las tareas del clúster AIA0001 corrían bajo un identificador interno llamado claudecode_deepseek-v4.1-flash, lo que apunta a un modelo DeepSeek V4.1 Flash operado desde Claude Code, de Anthropic. Ni el investigador ni Reuters pudieron confirmarlo, y el medio aclaró que la campaña parecía combinar DeepSeek con Claude Code.
Agentes que encuentran la vulnerabilidad que un script no vería
Lo que distingue a este episodio de un ataque automatizado clásico es el comportamiento cuando no hay una falla evidente. En una de las operaciones, los agentes no detectaron vulnerabilidades en la aplicación pública de una gran empresa. En lugar de rendirse, analizaron registros digitales para identificar infraestructura relacionada, localizaron un panel de control accesible desde internet y encontraron una debilidad en el procesamiento de datos. Tras varias horas de pruebas, informaron que habían conseguido que el servidor ejecutara comandos maliciosos.
Una intrusión documentada, según el propio relato del agente, encadenó tres debilidades: acceso de escritura no autorizado a un almacén de sesiones memcached, manejo inseguro de objetos PHP guardados y código antiguo de Zend Framework. Cada víctima tuvo rutas distintas, lo que refuerza la idea de que no fue un método único, sino un proceso de búsqueda y adaptación.
Para Fagerland, «no es un asunto simple que la IA encuentre esa solución» y no corresponde al nivel técnico de un hacker novato, según declaraciones recogidas por Chosun Biz.
Qué respondieron Deere, SharkNinja y Cummins
Las tres compañías reconocieron el incidente con matices distintos. Deere dijo que tomó las medidas correctivas necesarias y que no hay indicios de acceso a información confidencial. SharkNinja explicó que el ataque golpeó un sitio independiente con información de asistencia técnica y que la amenaza fue contenida. Cummins afirmó que investigaba una denuncia sobre un posible ataque contra un sitio administrado por uno de sus proveedores externos. Otras dos empresas más pequeñas también confirmaron intrusiones, y Reuters no pudo establecer en qué medida las brechas derivaron en extracción de información.
El patrón viene creciendo desde agosto
Este caso no es aislado. En agosto, la firma Gambit Security identificó extorsionadores que usaron la herramienta de IA Cursor para comprometer siete organizaciones. En septiembre, la misma compañía documentó otra campaña que afectó a 25 empresas y derivó en el robo de al menos 600.000 registros de tarjetas de crédito. Una investigación de ReliaQuest descrita por The Deep Dive documentó además un panel de control sin autenticación sobre infraestructura usada para comprometer un servidor, con cientos de comandos ejecutados en 24 horas que terminaron en acceso administrativo.
La empresa de ciberinteligencia Bitsight advirtió por su parte que crecen las conversaciones en foros clandestinos sobre cómo usar agentes autónomos para delinquir. El fenómeno también llegó a Europa: la Agencia Española de Protección de Datos (AEPD) recibió la primera notificación de un posible ataque ejecutado por un agente de IA autónomo, que según el relato del organismo buscó vulnerabilidades, hizo un login correcto y llegó a modificar datos personales y acceder a facturas, informó El Mundo. Un antecedente marca la tendencia: en 2025, Anthropic detectó una campaña de ciberespionaje contra alrededor de 30 objetivos donde la IA ejecutó de forma independiente entre el 80% y el 90% de las operaciones tácticas, según 20minutos.
El agujero extra: los paneles de los propios atacantes
Hay un segundo hallazgo que interesa a cualquier equipo técnico. Los paneles de Cairn dejados abiertos exponen a quién se está atacando, qué fallas se encontraron y qué credenciales y claves se extrajeron. NorForge pasó el escáner de secretos Trufflehog sobre esos datos y encontró cientos de secretos, 11% de los cuales verificó como todavía válidos. Los paneles también parecían exponer el control completo de las operaciones: iniciar y detener proyectos, inyectar datos y redirigir a los agentes hacia otros blancos.
Lo más incómodo: NorForge encontró también empresas legítimas de pruebas de penetración que habían dejado tests reales de clientes en paneles sin proteger, poniendo los datos de esos clientes en el mismo riesgo. Si tu startup contrata pentesting, vale preguntar dónde vive la evidencia de ese trabajo.
¿Qué significa esto para tu startup?
La conclusión de Fagerland es que la autonomía de estas tecnologías avanzó más rápido de lo que esperaba. Traducido a la operación diaria: la ventana entre el ataque y el daño se acortó, y la defensa tiene que correr a otra velocidad. Cinco movimientos concretos para esta semana:
- Audita lo que expones sin querer. Los paneles de agentes de este tipo suelen responder en el puerto 8000: uno accesible sin login es señal de alarma inmediata. Busca también formularios de subida de archivos inesperados en directorios ocultos, que son el punto de apoyo que estos agentes buscaban.
- Parcha tu tienda si corre Magento. El directorio de un proceso revisado por NorForge contenía una prueba de concepto de una falla crítica de Magento llamada StyleSmuggler (CVE-2026-75650) y un laboratorio de pruebas para ella. No hay evidencia de que se usara en estas intrusiones, pero si estás en Adobe Commerce 2.4.4 a 2.4.9 o Magento Open Source 2.4.6 a 2.4.9, aplica el hotfix de Adobe.
- Rota credenciales, no solo contraseñas. Que el 11% de los secretos hallados en paneles ajenos siguieran válidos significa que hay claves vivas circulando. Revisa tokens de API, llaves de servicios cloud y credenciales de integraciones, sobre todo las que tienen permisos de escritura.
- Mide el tiempo de respuesta, no la herramienta. Si una intrusión exitosa promedio toma casi 23 horas de trabajo automatizado y el atacante puede paralelizar intentos, tu monitoreo necesita detectar en horas, no en días. Define cuánto tardarías en detectar, contener y notificar, y quién decide a las 3 de la mañana.
- Aplica mínimo privilegio a tus propios agentes. Si tu producto usa agentes de IA, dales permisos acotados, límites de ejecución y validación humana en acciones irreversibles. Los riesgos documentados incluyen acciones no previstas, herramientas con permisos excesivos y errores que se propagan por procesos automatizados.
Para founders en LATAM y España, con equipos de seguridad pequeños o inexistentes, la asimetría es incómoda: US$50 de tokens por intrusión exitosa contra el costo de una auditoría. La respuesta realista no es comprar la última plataforma, sino reducir la superficie expuesta y acortar el tiempo de reacción.
Conclusión
El caso de Cairn muestra que el ciberdelito con IA dejó de ser una hipótesis de laboratorio y se convirtió en un modelo de bajo costo: instrucciones de 100 caracteres, miles de intentos en paralelo y un precio por éxito que cabe en el presupuesto de casi cualquier delincuente. La buena noticia es que las defensas que más rinden en este escenario siguen siendo aburridas y baratas: inventario de lo que está expuesto a internet, parches al día, credenciales rotadas, permisos mínimos y un plan de respuesta que se pueda ejecutar en horas. Si la amenaza aprendió a trabajar sola, la defensa no puede seguir dependiendo de que alguien vea la alerta a tiempo.
Fuentes
- Ciberataques con inteligencia artificial: un hacker usó agentes de IA y US$5.000 para atacar más de 100 empresas
- Hackers Use Autonomous AI Agents to Breach Company Websites, Target Over 1,200 Sites
- AI Hackers Expose Their Own Operations During Corporate Intrusions
- AI-powered hacker breaches 100+ firms worldwide for 6.7 million won
- La Agencia de Protección de Datos detecta el primer posible ataque perpetrado por un agente de IA en España
- Mientras duermes, un agente de IA puede estar buscando cómo entrar
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
