Cairn: un hacker usa agentes de IA en 100 webs

Un hacker, 100 webs y una factura de US$5.000

Un atacante logró entrar en las webs de más de 100 empresas —entre ellas John Deere, SharkNinja y Cummins— dejando que un ejército de agentes de IA trabajara por él. El coste estimado de toda la campaña: unos US$5.000 en servicios de inteligencia artificial, es decir, alrededor de US$50 por cada intrusión conseguida.

Para un founder, la cifra es la noticia. Durante años, el argumento tranquilizador era que un ataque sofisticado requería un equipo humano, tiempo y presupuesto. Ese supuesto acaba de caerse: con menos de 100 caracteres de instrucciones, una sola persona puso a trabajar agentes autónomos contra más de 1.200 páginas web de Estados Unidos, Canadá, Australia y Japón.

Qué pasó exactamente, según la investigación de NorForge

La información procede de Snorre Fagerland, investigador principal de amenazas de la firma de ciberseguridad NorForge, y fue recogida por The Verge y Reuters. Fagerland no buscaba ataques: estaba rastreando instancias de Cairn expuestas accidentalmente en Internet.

Cairn es una plataforma de código abierto que se describe a sí misma como un "motor de resolución de problemas de propósito general". El usuario define un punto de partida y un objetivo, y los agentes deciden cómo llegar, documentando su avance y compartiendo información entre ellos. Cuando esa interfaz de gestión queda accesible desde la web abierta, cualquiera puede leer las instrucciones y seguir las operaciones en curso.

Eso es precisamente lo que permitió descubrir la campaña. Según The Deep Dive, Fagerland identificó alrededor de dos docenas de instancias de Cairn vinculadas a actividad maliciosa a partir del 2 de octubre. La más activa pertenecía a un operador que hablaba chino y que, desde el 25 de septiembre, dirigió a sus agentes contra sitios de comercio electrónico en cuatro países.

Cómo trabajan los agentes cuando nadie los supervisa

Las instrucciones del atacante eran notablemente breves: menos de 100 caracteres en chino donde esbozaba sus "tácticas de intrusión preferidas". A partir de ahí, los agentes buscaron vulnerabilidades, intentaron ejecutar código malicioso en los servidores y procuraron instalar herramientas para mantener el acceso. Nadie supervisó cada intento.

Cada intrusión exitosa requirió unas 23 horas de trabajo automatizado. En un caso documentado por Reuters, los agentes no encontraron fallos en la aplicación pública de una gran empresa, así que revisaron registros digitales para localizar infraestructura asociada, dieron con un panel de control expuesto y detectaron una debilidad sutil en la forma en que procesaba datos. Tras horas de prueba y error, lograron que el servidor ejecutara comandos maliciosos.

"No es algo sencillo de resolver", dijo Fagerland. "No es cosa de script kiddies", añadió, en referencia a los atacantes inexpertos que dependen de herramientas ya hechas. Según TechCentral, la campaña habría combinado DeepSeek, de China, con Claude Code, de Anthropic.

Las respuestas de las empresas afectadas

Las tres compañías confirmaron incidentes con matices distintos, y ninguno de esos comunicados permite saber qué información quedó expuesta en el conjunto de la campaña.

• John Deere aseguró que no tiene indicios de accesos a información confidencial y que ya aplicó medidas correctivas.
• SharkNinja reconoció un incidente, aunque sostiene que solo afectó a una página independiente con información de soporte de productos y que la amenaza está contenida.
• Cummins dijo que investiga un posible ataque a una web gestionada por un proveedor externo.

Reuters no pudo establecer en qué medida las brechas derivaron en extracción de datos sin autorización, y la investigación tampoco ha determinado si los atacantes se llevaron información de todas las páginas comprometidas. Dos empresas más pequeñas también reconocieron haber sido comprometidas.

No es un caso aislado: el patrón se repite desde agosto

Lo que hace relevante este episodio no es su excepcionalidad, sino su regularidad. El propio informe de NorForge describe otros dos atacantes observados: uno robó un alijo de datos de tarjetas de crédito y otro intentó que sus agentes asaltaran un exchange de criptomonedas.

El historial reciente refuerza la tendencia:

• En septiembre, Gambit Security documentó una campaña con agentes de IA que derivó en brechas en 25 empresas y el robo de al menos 600.000 registros de tarjetas de pago, según TechCentral.
• En agosto, la misma firma encontró que extorsionadores de habla rusa usaron la herramienta de código con IA Cursor para entrar en siete organizaciones.
• En agosto también se documentó una campaña contra Taiwán en la que ocho agentes de IA en paralelo modificaron sus métodos y aprovecharon distintas vulnerabilidades sin intervención humana.
• La firma de inteligencia Bitsight reportó que las conversaciones sobre cómo usar agentes autónomos se dispararon en foros de cibercrimen.

El creador de Cairn, conocido por el alias @le1xia0, defendió que la plataforma "nunca fue una herramienta de hacking" y que "el mal uso es una decisión humana, no una característica del motor". NorForge, mientras tanto, trabaja para dar de baja las instancias maliciosas.

El otro lado: la defensa también se está automatizando

Mientras los agentes atacan, los defensores intentan usar la misma tecnología. NIST está desarrollando un flujo de trabajo con agentes de IA para enriquecer la información de su base de datos nacional de vulnerabilidades, según Nextgov. El contexto lo justifica: las presentaciones de CVE crecieron un 263% entre 2020 y 2025, y NIST enriqueció cerca de 42.000 CVE en 2025, un 45% más que en cualquier año anterior, sin lograr seguir el ritmo.

El problema de fondo es de volumen. Casi una cuarta parte de las cerca de 500 vulnerabilidades conocidas como explotadas en el primer semestre de 2026 se aprovecharon el mismo día de su divulgación o antes, según el índice de preparación de ESET para pymes. Y la superficie de ataque se multiplica: entre marzo y mayo de 2026, los sistemas de ESET escanearon casi 900.000 skills de repositorios populares; más de 25.000 resultaron sospechosas y más de 3.000 directamente maliciosas.

¿Qué significa esto para tu startup?

La lección no es "la IA es peligrosa". Es que el coste de atacar bajó lo suficiente como para que tu startup deje de ser un objetivo demasiado pequeño. Si una campaña completa cuesta US$5.000 y cada intrusión unos US$50, el cálculo económico del atacante cambió: ya no necesita apuntar solo a grandes corporaciones.

Hay un dato que debería incomodar a cualquier equipo fundador: en una encuesta global de ESET a 4.400 responsables de pymes, el 40% de las empresas no tenía ninguna política de IA. Y las reglas eran más comunes justo en las compañías que ya habían sufrido un incidente.

El riesgo específico de los agentes es distinto al de un chatbot. Un agente con permisos puede actuar: si lee documentos internos, procesa correo entrante y puede comunicarse hacia fuera, reúne las tres condiciones que ESET llama la "trifecta letal" de la seguridad agéntica. Manipular sus instrucciones deja de ser un problema de respuestas raras y pasa a ser un problema de acciones costosas.

Acciones concretas que puedes aplicar esta semana

• Inventario de agentes y permisos. Antes de comprar cualquier herramienta, haz una lista de qué agentes o integraciones de IA están conectados a tus sistemas, quién los autorizó y a qué datos acceden. La mayoría de los equipos pequeños no puede responder esa pregunta hoy.
• Aplica la regla de las tres patas. Si un agente tiene acceso a datos sensibles, expone contenido externo y además puede comunicarse o ejecutar acciones hacia fuera, quítale una de las tres. Reducir una sola pata baja el riesgo de forma sustancial.
• Trata los skills y conectores como dependencias vivas. Un skill que hoy hace lo que promete puede cambiar mañana. Revisar una vez en la instalación no alcanza: define quién los monitorea y con qué frecuencia.
• Escribe una política de IA, aunque sea de una página. Quién puede conectar qué, con qué permisos y con qué datos. Es la diferencia entre gobernar el riesgo antes del incidente o después.

Conclusión

El caso de Cairn marca un punto de inflexión menos por su sofisticación técnica que por su economía. Un atacante sin equipo, sin infraestructura propia y con instrucciones de menos de 100 caracteres consiguió más de 100 intrusiones por el precio de una laptop. Para los founders, la respuesta no es frenar la adopción de agentes, sino gobernar sus permisos con el mismo rigor con el que se gobierna el acceso de un empleado nuevo.

Fuentes

• La Razón — Un hacker usa agentes de IA autónomos para entrar en más de 100 webs
• The Verge — A hacker broke into John Deere and SharkNinja with an army of AI agents
• TechCentral — This is what an AI-run hacking spree looks like
• The Deep Dive — AI Hackers Expose Their Own Operations During Corporate Intrusions
• Nextgov — AI agents are getting better at cybersecurity. That cuts both ways.
• WeLiveSecurity — The SMB cybersecurity squeeze: AI agents at work, old attacks in overdrive
• Digital Trends — OpenAI AI agents were linked to a cyberattack on RubyGems