Cairn, la IA que vulneró 100 webs con 100 caracteres

Un atacante dio a sus agentes de inteligencia artificial instrucciones de menos de 100 caracteres en chino y los lanzó contra más de 1.200 sitios web. Para finales de la semana pasada, más de 100 ya habían sido comprometidos. Si tu startup vive de una tienda online o de un panel de clientes, esa proporción es la noticia: una sola persona administrando un radio de acción que antes requería un equipo.

El seguimiento lo hizo Snorre Fagerland, investigador de la firma de seguridad NorForge, y Reuters identificó entre las víctimas páginas vinculadas a Deere, SharkNinja y Cummins. Las tres compañías describieron impactos limitados: SharkNinja dijo que el golpe fue a un sitio de soporte de producto independiente y que contuvo la amenaza, mientras Cummins señaló que investigaba un posible ataque contra un sitio operado por un proveedor externo.

¿Qué pasó exactamente con Cairn y los 1.200 sitios atacados?

Conviene ser preciso con las cifras, porque la diferencia importa para tu estrategia. Son 1.200 intentos de intrusión, no 1.200 ataques exitosos. Reuters no pudo determinar cuánto dato, si alguno, se extrajo de forma no autorizada en esta campaña.

El motor detrás de todo es Cairn, un framework abierto de resolución de problemas con múltiples agentes. No se creó para hackear: su autor, que publica como le1xia0, dijo a Reuters que la herramienta no fue diseñada para ataques y que el uso dañino no era su intención. Su mecánica es la de cualquier sistema de IA agéntica: se le da un objetivo, los agentes dividen el trabajo, publican sus hallazgos en un tablero compartido y usan esa información para decidir el siguiente intento. Aplicado a una intrusión, eso permite mantener tareas de reconocimiento y búsqueda de vulnerabilidades durante horas sin que un humano dicte cada movimiento.

Según The Hacker News, NorForge detectó alrededor de dos docenas de instancias de Cairn usadas con fines maliciosos desde comienzos de octubre y agrupó más de 20 de esos paneles como probablemente maliciosos. El clúster más activo, de habla china, vinculaba 14 paneles con más de 1.100 proyectos de ataque, con objetivos en Estados Unidos, Japón y Australia. La tasa de éxito general que observó la firma rondó el 10%, aunque advirtió que los clústeres persiguen objetivos distintos y no son comparables entre sí.

¿Por qué no es un ataque automatizado más?

Un ejemplo documentado por Fagerland muestra hasta dónde llegaba la autonomía. Después de fracasar buscando vulnerabilidades en la aplicación visible de una gran compañía, el sistema rastreó registros digitales para encontrar infraestructuras asociadas, localizó un panel accesible desde Internet, identificó una debilidad poco evidente en el procesamiento de datos y siguió experimentando durante horas hasta que los agentes reportaron haber logrado que el servidor ejecutara comandos.

"Esto no es cosa de script kiddies", resumió el especialista a Reuters.

Los proyectos que lograron su objetivo tardaron de media algo menos de 23 horas, según el análisis de NorForge. La automatización clásica puede ramificar y reintentar, pero sigue una lógica definida. Lo observado aquí se parece más a un analista junior incansable que revisa su enfoque durante horas sin supervisión. Para quien defiende un sistema, eso complica la detección por comportamiento: no hay un patrón fijo que repetir y por lo tanto tampoco uno fácil de reconocer.

¿Cuánto cuesta hoy un hackeo con agentes de IA?

Fagerland estimó que la campaña completa consumió alrededor de 5.000 dólares en tokens, unos 50 dólares por compromiso logrado. En paralelo, NorForge calculó para The Hacker News un promedio cercano a 5 dólares por tarea, contando también los intentos que fallaron o se cortaron, y advirtió que la incertidumbre de esa cifra es considerable. Son estimaciones, no facturas observadas. La economía, sin embargo, no es el punto discutible: una parte del trabajo que antes exigía atención humana permanente ahora puede sostenerse con un costo marginal bajo mientras una sola persona mantiene decenas de intentos activos.

El descuido que dejó ver toda la operación

Hay una segunda lección, más incómoda para cualquier empresa que ya usa agentes: los paneles de control de los propios atacantes estaban expuestos en Internet abierto. Esos tableros muestran a quién se está atacando, qué debilidades se encontraron y qué credenciales y claves se robaron. NorForge pasó su escáner de secretos Trufflehog sobre los datos de los paneles y encontró cientos de secretos, de los cuales verificó que el 11% seguía siendo válido.

El problema no es solo criminal. Según The Hacker News, NorForge también encontró firmas de pentesting aparentemente legítimas que habían dejado pruebas reales de clientes en paneles sin proteger, exponiendo los datos de sus clientes al mismo riesgo. Si contratas auditorías de seguridad, eso es un requisito que debes poner por escrito.

¿Qué dice el resto de la industria sobre la IA agéntica?

Google Threat Intelligence Group documentó en su Q3 2026 AI Threat Tracker un caso de Q2 2026 en el que un atacante con motivación económica desplegó un framework multiagente y ejecutó una campaña masiva de robo de credenciales en menos de seis horas, con miles de credenciales de terceros comprometidas, según recogió Help Net Security. En otro servidor expuesto, el grupo encontró más de 23.800 secretos recolectados. Eso sí, Google aclaró que todavía no ha observado pipelines totalmente autónomos operando en el mundo real, aunque la adopción de IA agéntica por parte de atacantes apunta en esa dirección.

La lectura de Interpol es más matizada y útil para planificar. Su CISO global, Bjorn R. Watne, dijo a CNBC que esto es "una evolución y no una revolución": la IA aumenta sobre todo la velocidad y la escala de técnicas que ya existían. Su recomendación es concreta: identificar primero las "joyas de la corona" (los activos críticos para operar) y ajustar las defensas a quién tendría interés real en atacarte, en lugar de intentar protegerlo todo a la vez.

Y hay una brecha interna que conviene mirar antes de señalar hacia afuera. Según una encuesta de Ernst & Young a 202 decisores de IA citada por ZDNET, el 26% de las organizaciones no puede detectar agentes de IA no autorizados operando dentro de su propia empresa, y el 36% reportó incidentes de IA con impacto negativo material. La misma nota cita una investigación de Salesforce según la cual los agentes en producción pasaron de un promedio de cinco en 2024 a trece en 2026.

¿Qué significa esto para tu startup?

Si diriges una empresa que todavía depende de un ecommerce, un CMS o un panel de cliente, el cambio de escala te afecta aunque nadie te esté apuntando hoy. Estas son las acciones con más retorno inmediato:

• Cierra los paneles y formularios que no reconoces. Los paneles de control de agentes de este tipo suelen responder en el puerto 8000; uno expuesto y sin login es un hallazgo que vale la pena buscar en tu propia infraestructura. Revisa también formularios de subida de archivos en directorios ocultos: era el punto de apoyo que buscaban estos agentes.
• Parchea lo que ya tiene parche. The Hacker News recogió que en el directorio de trabajo de un atacante apareció una prueba de concepto de una falla crítica de Magento, StyleSmuggler (CVE-2026-75650), junto a un laboratorio de pruebas. No hay evidencia de que se usara en estas intrusiones, pero si tu tienda corre en una versión afectada, el hotfix de Adobe corresponde a Adobe Commerce 2.4.4 a 2.4.9 y Magento Open Source 2.4.6 a 2.4.9.
• Aplica privilegio mínimo a tus propios agentes. El riesgo no está solo afuera: cuando un agente deja de responder preguntas y obtiene permisos para consultar datos, usar herramientas o modificar recursos, cualquier abuso potencial gana alcance. Limita permisos, registra cada acción y exige aprobación humana antes de que un agente toque sistemas externos.
• Pon las auditorías por escrito. Si contratas pentesting, exige contractualmente que no se dejen pruebas ni credenciales de tu empresa accesibles desde Internet. El caso de los paneles abiertos demuestra que el proveedor también puede convertirse en tu superficie de exposición.

Conclusión

El dato que debería quedarse contigo no es el de las 100 webs comprometidas, sino la proporción entre esfuerzo y resultado: menos de 100 caracteres de instrucciones para mover una campaña sobre 1.200 objetivos. El humano sigue en el proceso, eligiendo blancos, interpretando resultados y monetizando accesos, y varias de las empresas afectadas reportaron daños acotados. Lo que se movió es cuánto puede hacer una sola persona antes de necesitar ayuda, y esa cuenta es la que hoy tiene que entrar en tu modelo de riesgo.

Fuentes

• Xataka: menos de 100 caracteres, 1.200 webs atacadas y más de 100 comprometidas (fuente original)
• The Hacker News: hackers usan agentes de IA autónomos contra más de 1.200 sitios
• Gadget Review: un hacker usó agentes de IA para entrar en Deere, SharkNinja y Cummins
• The Deep Dive: los atacantes expusieron sus propias operaciones
• Help Net Security: Google Threat Intelligence sobre agentes de IA en ciberataques
• CNBC: Interpol advierte que la IA acelera los ciberataques
• ZDNET: encuesta de EY sobre agentes de IA no autorizados