Cloudflare: 50 familias de pentesting con IA en 3 días

Qué es un orquestador de pentesting con IA

Un orquestador de pentesting con IA es un framework de código abierto que conecta agentes autónomos con herramientas de seguridad ofensiva y ejecuta las etapas de la Cyber Kill Chain sin que un humano dirija cada paso. Cloudflare reportó que en los últimos tres días más de 50 familias de estos frameworks intentaron escanear a sus clientes en todo el mundo, y que las direcciones IP que los ejecutan ya se cuentan por miles.

La diferencia con un escáner tradicional no es de grado, sino de naturaleza. ARTEX, el framework que abrió la categoría, mapea activos y entornos sobre un grafo y permite que múltiples agentes paralelos enumeren, verifiquen, prototipen y ataquen a la velocidad de la inferencia. Eso convierte una intrusión en un problema de escalada continua: exactamente el tipo de tarea en la que los modelos de lenguaje son buenos.

Según Microsoft, ARTEX usa por defecto Nmap, curl, wget, clientes HTTP de Python y Chromium headless vía Playwright. No inventa técnicas nuevas: industrializa las que ya existían.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cloudflare rastrea más de 50 agentes LLM de este tipo. Entre los cinco principales, todos con más de 1.000 estrellas en GitHub y totalmente autónomos, están ARTEX, LuaN1aoAgent, Decepticon, Cairn y PentestGPT-Agent. Cairn, por ejemplo, despacha trabajo a arneses de IA ya existentes como Codex o Claude Code.

El efecto hidra: de un repositorio a 12.000

El 8 de octubre, Autumn-27, el creador de ARTEX, borró el repositorio original. Su argumento, escrito en chino, fue que la explotación maliciosa de la herramienta contradecía por completo su intención original.

El resultado fue el opuesto. Cloudflare describe un efecto hidra: hoy existen más de 12.000 repositorios, con varios cientos de forks únicos que conservan linaje del original. Las peticiones diarias a herramientas de pentesting y explotación con IA crecieron 30 veces desde el 1 de octubre, y el tráfico se multiplicó por más de diez desde la baja del repositorio.

Al 12 de noviembre, ARTEX y sus forks representaban más del 60% de los orquestadores de pentesting con IA conocidos. Censys contabilizó 1.465 hosts con una consola ARTEX expuesta al 4 de noviembre, y Check Point identificó 2.557 sistemas que alojaban ARTEX, incluidos diez casos mal configurados que exponían sus bases de datos completas, según reportó The Hacker News.

El ecosistema ya no es solo ARTEX. AntiFox, una plataforma construida sobre la base de ARTEX, acumula 251 forks y 474 estrellas en GitHub, y The Hacker News reporta que existen alrededor de 45 frameworks agénticos de ataque de código abierto agrupados en cinco categorías: kill chain de red, aplicaciones web y API, integrados con C2, arneses y prototipos de investigación.

Qué encontraron los equipos de respuesta a incidentes

La parte que debería preocupar a cualquier CTO no es el volumen de escaneos, sino lo que pasa cuando uno tiene éxito.

En una investigación de Cloudforce One, el equipo de respuesta de Cloudflare, ARTEX accedió a un token de API a nivel de cuenta que se usaba para CI/CD, sin restricciones de IP ni límite de peticiones. El equipo observó la creación de scripts Worker con nombres como artex-*, artex-pgrecon-*, artex-pgw-* y artex-do-*, actividad superior a 69 solicitudes por minuto en distintas partes de la infraestructura y 400 solicitudes de volcado de base de datos en una hora. También detectó intentos de persistencia y de validación de tokens de sesión de otras aplicaciones de terceros.

Microsoft reportó que, desde el 28 de octubre de 2026, observó inicios de sesión exitosos de service principals desde la IP 199.19.77[.]84, con credenciales de aplicaciones multitenant comprometidas en el origen. En al menos un caso, un agente pasó de buscar secretos en GitHub a exfiltrar datos de Azure Key Vault en cinco minutos.

CrowdStrike, según publicó Cybersecurity Dive, atribuyó a un actor vinculado a China, trackeado como Vapor Panda o Storm-0940, una campaña con ARTEX que alcanzó a más de 200 organizaciones en 14 países, comenzada el 17 de octubre, con despliegue de un backdoor llamado BloodAlchemy y el modelo DeepSeek operando en paralelo.

Y el daño no siempre es financiero. Según Cybersecurity Intelligence, ARTEX divide el trabajo entre seis subagentes especializados, recuperó más de 110.000 objetos de Active Directory en un incidente y usa Kerberoasting para extraer tickets de servicio y crackearlos offline. En una campaña contra certificados de firma de código de Apple, los agentes habrían recolectado más de 300 certificados y sus contraseñas.

Recorded Future identificó 103 incidentes habilitados por IA entre el 31 de julio de 2025 y el 31 de julio de 2026, y documentó una campaña contra entidades del gobierno de Taiwán en la que operaron hasta ocho agentes de IA con intervención humana limitada.

Los seis pilares del Modelo de Seguridad Moderno

Cloudflare propone reemplazar el modelo clásico de defensa en profundidad por seis capas, cada una pensada para frenar una etapa del ataque autónomo:

Fortificar la puerta principal: un WAF con reglas avanzadas, como límites de tasa, para absorber ataques volumétricos y sondeos directos de IP.
Puesto de control en el vestíbulo: detección de anomalías en todas las aplicaciones web que usan tus clientes.
Identificar visitantes falsos: defensa anti-bots que detecte cadencia mecánica y microcomportamientos sintéticos.
Eliminar la puerta trasera: acceso condicionado por identidad para toda aplicación interna o externa de alto riesgo, más microsegmentación para cortar el movimiento lateral.
Inspeccionar las entregas: validación de esquemas OpenAPI, certificados mTLS y una regla explícita de deny-all al final del conjunto de reglas.
Vigilancia del vecindario: inteligencia de amenazas para saber qué está pasando antes de que llegue a tu puerta.

Qué significa esto para tu startup

Aunque suene a problema de gran empresa, la asimetría juega en contra de los equipos pequeños: un atacante con pocas habilidades técnicas ya puede paralelizar agentes contra decenas de objetivos, y tu startup probablemente no tiene un SOC 24/7.

Revisa tus credenciales de CI/CD esta semana. El vector más repetido en los incidentes documentados no es un zero-day: son tokens estáticos, sin expiración, sin restricción de IP y con permisos amplios. Microsoft recomienda migrar la autenticación de aplicaciones OAuth a identidades administradas y rotar de inmediato cualquier credencial que haya estado expuesta en un repositorio público, incluso si el archivo ya se borró. Borrar el código no invalida la credencial.

Escanea tus repositorios y activa la protección de push. GitHub escanea repositorios públicos automáticamente, pero conviene habilitar el monitoreo de repositorios secundarios y revisar el historial de commits. Un secreto filtrado hace años sigue siendo útil: CrowdStrike documentó agentes explotando claves expuestas en una exportación de servidor de correo de 2022.

Aplica microsegmentación antes que cualquier otra cosa. Es la medida con mejor relación costo-beneficio contra frameworks que ya demostraron moverse lateralmente con credenciales robadas. Si un token de desarrollo no puede alcanzar producción, el radio de explosión se reduce a un solo entorno.

Considera señuelos, no solo muros. Microsoft reportó que honeypots, decoys y tarpits redujeron el tráfico de ataque que llegaba a activos reales y generaron señales de alta confianza. Para un equipo sin presupuesto de defensa dedicado, un señuelo barato puede comprar tiempo.

Presupuesta la validación continua. Según Picus Security, en el tercer trimestre de 2026 se publicaron 36.971 CVE, más del triple que el año anterior. Con ese ritmo, un pentest anual deja 364 días sin cobertura. La propia Picus lanzó esta semana una capacidad de pentesting autónomo con agentes, y la seguridad agéntica se convirtió en una de las categorías mejor financiadas de la ciberseguridad este año.

Conclusión

El mensaje de Cloudflare es incómodo pero claro: el modelo de defensa basado en perímetro y revisiones periódicas no está diseñado para atacantes que iteran a velocidad de máquina. La buena noticia es que las contramedidas más efectivas documentadas hasta ahora son aburridas y baratas, como rotar credenciales, segmentar redes, limitar tasas y validar esquemas, y no requieren comprar inteligencia artificial para defenderse.

Lo que sí requieren es dejar de tratar la higiene de credenciales como una tarea de mantenimiento y empezar a tratarla como la superficie de ataque principal. En los incidentes que Cloudflare, Microsoft y CrowdStrike describieron, la puerta de entrada casi nunca fue sofisticada. Fue una llave que nadie cambió.