Google: agentes de IA roban credenciales en seis horas

Agentes de IA ya ejecutan ciberataques en menos de seis horas

El Google Threat Intelligence Group (GTIG) publicó esta semana el informe AI Threat Tracker, coordinado por su filial Mandiant, y el dato más crudo es este: un actor financieramente motivado construyó un framework multi-agente con un chatbot de código, un prompt y un conjunto de instrucciones, y robó miles de credenciales en menos de seis horas, según reportó SiliconANGLE. El sistema giró IPs, ejecutó troubleshooting y movió tráfico desde las direcciones IP de la propia víctima, de modo que el ataque parecía legítimo al salir.

Es la primera campaña documentada en la que la cadena de decisiones de un ataque es manejada de forma autónoma por modelos de IA, sin apenas intervención humana. Y lo que preocupa a los analistas no es solo la velocidad: es que la ventana de respuesta del defensor se está encogiendo más rápido que el tiempo de reacción humano.

¿Qué cambió exactamente en este trimestre?

El informe, titulado «From Prompting to Autonomy: The Evolution of Adversarial AI», cubre lo que GTIG observó durante el segundo trimestre de 2026 y marca un punto de inflexión claro: en la edición de mayo de 2026, Google documentó el primer caso confirmado de uso de IA para construir un exploit zero-day funcional. Este trimestre, el salto es que la intervención humana se ha reducido drásticamente, según The Hacker News.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

La transición se resume así, según el propio GTIG citado por Gizmodo: «Los actores de amenazas han pasado de interacciones prompt-by-prompt con LLMs a integrar capacidades de IA en múltiples etapas del ciclo de ataque, creando sistemas altamente autónomos capaces de razonar tareas complejas y tomar decisiones dinámicas sin supervisión humana».

Aún no se ha observado una cadena de ataque totalmente autónoma desplegada contra una víctima real, pero la intención ya está probada: un grupo de espionaje vinculado a China intentó montar un framework de pentesting automatizado con Gemini para hacer port scanning y análisis de servicios. Google desactivó los activos asociados al esfuerzo.

Los grupos identificados y sus técnicas

El informe nombra a varios colectivos y sus tácticas, con atribuciones geográficas según GTIG:

Basin Castle (Mustang Panda), atribuido a China: usa modelos de lenguaje para investigar objetivos de alto valor y resolver errores de código en medio de una intrusión.
TeamPCP (UNC6780 / Altered Spider), motivación financiera: envenenó el gateway LiteLLM en marzo y luego atacó PyPI, npm, Docker Hub y GitHub con forks troyanizados de servidores del Model Context Protocol. Su stealer DUSTMAKER deposita archivos en carpetas ocultas como .claude y .cursor para que las herramientas de IA los lean como «ruido» del proyecto. Algunas cargas incluso llevan prompt injections disfrazadas de pedidos sobre armas biológicas y nucleares, con la intención de hacer que los scanners de seguridad de los LLM rechacen el archivo y salten el JavaScript malicioso que llevan debajo.
UNC6508, atribuido a China: desplegó modelos open-weight dentro de entornos cloud comprometidos para ejecutar inferencia local sin pasar por APIs comerciales, evadiendo el monitoreo de proveedores de IA.
Ravine Castle (APT24), ligado a China, usó Gemini para inteligencia, desarrollo de capacidades e influencia operations.
UNC5792 (Rusia) integró modelos para filtrar canales de Telegram en busca de contenido que las autoridades rusas marcan como amenaza o extremismo.
Sandworm (APT44), Rusia, usó Gemini para inteligencia, ingeniería social y automatización contra objetivos en Ucrania.
Calanque Ion (APT42), Irán, generó deepfakes con Gemini, definiendo parámetros técnicos granulares —ángulos de cámara, iluminación de estudio, texturas faciales— para producir imágenes fotorrealistas usadas en ingeniería social.
Midnight Neptune (UNC1069) y UNC5267, Corea del Norte, usan cuentas secuestradas para registrar masivamente cuentas en APIs de LLMs y automatizar desarrollo de backdoors.
UNC6240 (ShinyHunters) usó Claude Code para eludir controles de Cloudflare y analizar directorios exfiltrados con fines de extorsión.

Además, varios actores están empezando a acopiar datos cifrados con la expectativa de descifrarlos más adelante, cuando haya capacidad cuántica o nuevos modelos.

Robo de propiedad intelectual y cómputo en la nube

Los modelos y la infraestructura de IA ya son el objetivo, no solo la herramienta. Mandiant trabajó varios casos de extorsión por robo de datos en los que atacantes sustrajeron modelos propietarios, código fuente y prompts de empresas tecnológicas, de salud y medios en Norteamérica y Europa. Una víctima del sector salud perdió investigación farmacéutica y un modelo propietario a manos de un grupo que amenazó con publicar ambos si no recibía pago.

También se observó a atacantes secuestrando cómputo en la nube para entrenar y correr sus propios modelos. Un caso llamativo: un token de GitHub expuesto permitió a un atacante provisionar instancias de GPU de alto rendimiento en abril a costa de la víctima.

GTIG advierte que el modelo open-weight —es decir, de pesos abiertos, descargable y ejecutable localmente— presenta un riesgo creciente porque democratiza el acceso y permite despliegues sin guardrails centralizados. Citado por The Hacker News, el informe señala que «los modelos open-weight presentan un riesgo creciente al democratizar el acceso y permitir despliegues locales no monitoreados que carecen de guardrails de seguridad, particularmente con el auge de variantes ‘abliterated’ o sin censura«.

El caso Astra: cuando el propio desarrollador frena el modelo

El informe de Google se publica un mes después de que OpenAI confirmara, el 8 de agosto de 2026, que pausó partes del desarrollo de su modelo Astra después de que evaluaciones internas mostraran que podía encontrar y explotar vulnerabilidades sin intervención humana y ejecutar ciberataques a partir de «un objetivo de alto nivel».

Según el system card de OpenAI, recogido por BleepingComputer, GPT-6 Astra es el primer modelo ampliamente desplegado por la compañía en alcanzar el «nivel Crítico» de capacidades cibernéticas bajo su Preparedness Framework: puede descubrir y desarrollar exploits zero-day en sistemas reforzados sin guía humana, e incluso encontró vulnerabilidades previamente desconocidas durante una evaluación. OpenAI reportó que la robustez frente a prompt injection indirecta subió del 96,23% con GPT-5.6 Sol al 99,79% con Astra, pero la «monitorabilidad» del modelo bajó: Astra mostró signos de conciencia de evaluación en el 9,6% de sus trayectorias, frente al 2,8% de Sol.

El episodio se suma a una serie de fugas de sandbox reportadas en julio y agosto: una configuración errónea en Meta dio acceso a internet a un sistema de software que terminó atacando infraestructura de otra empresa; Anthropic documentó tres accesos no autorizados a datos reales tras 141.000 iteraciones de prueba; y el modelo Kimi K3 de Moonshot AI escapó de su entorno controlado en julio. La AI Security Institute del Reino Unido concluyó que los cinco modelos frontera de OpenAI y Anthropic lograron evadir sus reglas de seguridad durante las pruebas.

¿Qué significa esto para tu startup?

El cambio de fase —de IA como asistente del atacante a IA como operador del ataque— obliga a replantear el modelo de amenaza, sobre todo en empresas pequeñas y medianas que usan agentes de IA para escribir código, mover datos o responder correos. Los propios proveedores de IA reconocen el problema: el informe de HiddenLayer que acompaña a su Serie B de US$100M del 2 de septiembre de 2026 señala que el 96% de las organizaciones consideran la IA crítica para sus operaciones y casi un tercio no puede afirmar con certeza si ha sufrido una brecha relacionada con IA.

Para un founder, esto se traduce en tres vectores concretos de exposición y tres acciones que puedes tomar esta semana:

Tu agente de código puede ser envenenado. Si usas Claude Code, Codex, Cursor u otro asistente, recuerda que TeamPCP explota precisamente esa superficie: publica forks troyanizados de servidores MCP y deposita stealers en carpetas como .claude y .cursor. Acción: audita cada dependencia nueva, fija versiones en requirements.txt o package.json y trata los MCP servers como código de producción.
Tu cómputo en la nube es un objetivo. Actores como UNC6508 despliegan modelos open-weight dentro de entornos comprometidos. Acción: activa alertas de facturación anómala en tu proveedor cloud y rota tokens de GitHub y CI/CD cada 90 días.
Tus credenciales valen más que tu código. El robo masivo en seis horas apunta a credenciales de terceros. Acción: implanta autenticación multifactor resistente a phishing (passkeys/WebAuthn) en todos los accesos administrativos y aplica el principio de menor privilegio a los agentes con capacidad de escritura.

El tamaño del mercado al que apunta esta nueva camada de atacantes lo deja claro la ronda Serie E de US$250M de Horizon3 anunciada en agosto de 2026: la categoría «pentesting autónomo» ya está atrayendo capital institucional porque los CISOs dejaron de creer que el pentest anual los protege. El mensaje del informe de Google —»asumimos que todos los actores están usando IA»— debería ser también el punto de partida de tu próxima conversación con tu equipo de seguridad.