Hacker usa agentes de IA: 1.200 sitios por US$5.000

Un ejército de agentes de IA atacó 1.200 sitios web por US$5.000

Un pirata informático de habla china intentó irrumpir en más de 1.200 sitios web de Estados Unidos, Canadá, Australia y Japón con un presupuesto de apenas US$5.000 en tokens de IA, según el informe que el investigador de ciberseguridad Snorre Fagerland, de la firma NorForge, entregó a Reuters antes de su publicación. La campaña arrancó el 25 de septiembre y, para finales de la semana pasada, ya había comprometido las páginas de más de 100 empresas, entre ellas el fabricante de maquinaria agrícola Deere, la empresa de electrodomésticos SharkNinja y el fabricante de motores Cummins.

Lo relevante para cualquier founder no es el número de víctimas, sino quién ejecutó el trabajo: casi nadie. El atacante escribió instrucciones de menos de 100 caracteres en chino y dejó que los agentes de IA sondearan, encontraran y explotaran vulnerabilidades de forma autónoma durante horas. Cada intrusión exitosa tomó en promedio unas 23 horas de búsqueda y análisis, y costó alrededor de US$50.

¿Cómo funcionó la campaña de agentes autónomos?

Fagerland descubrió la operación mientras escaneaba la web en busca de instancias expuestas de Cairn, una plataforma de código abierto de resolución de problemas basada en IA que se volvió popular entre atacantes. A partir del 2 de octubre identificó unas dos docenas de instancias de Cairn usadas para actividades maliciosas, lo que le permitió observar a los ciberdelincuentes operar en tiempo real.

La campaña parecía combinar DeepSeek, el modelo chino, con Claude Code, de Anthropic. Según el informe, los agentes mostraron más iniciativa de la esperada. En un caso, tras no encontrar ninguna vulnerabilidad en la aplicación pública de una gran empresa, revisaron registros digitales para localizar la infraestructura asociada, encontraron un panel de control expuesto, detectaron una falla sutil en el procesamiento de datos y, después de horas de ensayo y error, lograron que el servidor ejecutara comandos maliciosos.

"No es sencillo idear soluciones como esa. No es cosa de niños del script", dijo Fagerland, que lleva casi tres décadas en ciberseguridad. Su conclusión es contundente: anteriormente asumía que los agentes atacantes necesitarían al menos cierta supervisión humana, y ahora es evidente que la tecnología superó esa etapa.

El autor de Cairn, que usa el handle "le1xia0", reconoció a Reuters haber recibido el mensaje del medio, pero no respondió de inmediato a las preguntas. En una publicación en X sostuvo que su plataforma es "un tipo innovador de arquitectura multiagente y no estaba diseñada para ataques informáticos".

El antecedente que dimensiona el problema

Este no es un caso aislado. En agosto, la firma israelí Gambit Security descubrió que extorsionadores de habla rusa habían aprovechado la herramienta de IA Cursor para colarse en siete organizaciones, según el reporte citado por Reuters. En septiembre, Gambit documentó una oleada impulsada por agentes de IA que provocó brechas en 25 empresas y el robo de al menos 600.000 registros de tarjetas de crédito.

El detalle de ese segundo caso, recogido por TNW a partir del informe de Gambit, es el que debería preocupar a cualquier equipo de producto. La operación usó tres frameworks de agentes —Strix, Cairn y Hermes— repartidos por fases del ataque, corriendo sobre modelos como DeepSeek, GLM y Claude Opus 4.6. El operador humano escribió 1.951 prompts en 260 sesiones: apenas unas pocas instrucciones por objetivo. La cuenta de OpenRouter gastó US$7.005,71 en cuatro semanas, y Gambit estimó el costo total de la campaña entre US$12.000 y US$18.000, con un promedio de US$25,46 por escaneo completado.

Los agentes no solo robaron datos: en al menos un caso borraron unas 180 tablas de base de datos, incluidas las copias de seguridad que los propios administradores de la víctima habían hecho. El daño operativo se sumó al robo.

La tendencia es sistémica. Según un estudio de IBM citado por Yahoo News, una de cada cuatro brechas maliciosas registradas entre marzo de 2025 y febrero de 2026 fue habilitada por IA, un 56% más que el año anterior. Y la semana pasada, la firma de ciberinteligencia Bitsight señaló que en los foros de ciberdelincuentes se multiplican los debates sobre cómo usar agentes autónomos, según Reuters.

¿Qué significa esto para tu startup?

El cambio de fondo es económico. Antes, montar una campaña de intrusión a escala requería un equipo con habilidades especializadas, tiempo y coordinación. Ahora un solo actor con un presupuesto de unos pocos miles de dólares puede lanzar más de mil intentos automatizados. Cuando el costo marginal de un ataque cae a decenas de dólares, la pregunta deja de ser "¿me van a atacar?" y pasa a ser "¿cuántos intentos automáticos recibo por semana?".

Para una startup esto es especialmente incómodo por tres razones. Primero, la superficie de ataque crece con cada integración: cada proveedor externo, cada script de terceros en el checkout y cada panel de administración expuesto es un punto de entrada. Segundo, los equipos pequeños rara vez tienen un responsable de seguridad dedicado, así que la respuesta suele llegar tarde. Tercero, los agentes de IA no se cansan ni se distraen: prueban durante 23 horas si hace falta.

Acciones concretas para proteger tu negocio

• Audita los scripts de terceros en tus páginas de pago. Los skimmers de tarjetas documentados por Gambit se escondían en librerías JavaScript como jQuery, en etiquetas de Google y en contenedores de Kubernetes. Si no sabes qué corre en tu checkout, no puedes defenderlo.
• Mantén copias de seguridad inmutables y fuera del servidor. En el caso documentado por Gambit, los agentes borraron las copias de seguridad alojadas junto a los datos vivos. Una copia offline o inmutable es la diferencia entre recuperarte en horas o perderlo todo.
• Rota credenciales de administrador y cierra paneles expuestos. El ataque que describió Fagerland empezó por un panel de control público. Revisa qué endpoints de administración son accesibles desde internet y limita el acceso por VPN o lista blanca de IPs.
• Asume el escaneo automatizado como algo permanente. No es un evento puntual: es ruido de fondo. Configura alertas sobre intentos repetidos de autenticación y tráfico anómalo hacia rutas de administración.
• Define un protocolo de respuesta antes de necesitarlo. Quién decide, a quién se notifica, cómo se comunica a los clientes. Deere dijo a Reuters que tomó "las medidas correctivas necesarias" y que no había indicios de acceso a información confidencial; SharkNinja señaló que el ataque afectó a un sitio independiente de soporte técnico y que la amenaza fue contenida. Tener el guion escrito de antemano acorta la ventana de exposición.

La lección de fondo

Fagerland resume el momento con una frase: "Ahora estamos en un mundo nuevo". La tecnología que hace posible automatizar tareas repetitivas en tu negocio es la misma que permite automatizar intrusiones. No hay una versión del stack donde la IA solo sirva para lo bueno.

Para un founder, la implicación práctica es que la seguridad dejó de ser un problema de infraestructura para convertirse en un problema de economía. Si un atacante puede lanzar más de mil intentos por el precio de una cena, tu defensa tiene que ser automatizada, monitoreada y barata de mantener. La buena noticia es que las medidas que más reducen el riesgo —backups inmutables, auditoría de scripts, rotación de credenciales— no requieren un equipo de seguridad grande, solo disciplina.

Fuentes

• Reuters vía Yahoo Noticias: Un hacker usó agentes de IA y unos pocos miles de dólares para acceder a decenas de sitios web
• IBTimes: 'It's Not Script Kiddie Stuff': Hacker Reportedly Uses AI To Breach Corporate Sites for Just $50
• TNW: AI agents stole 600,000 credit cards for about $25 a target, Gambit says
• Yahoo News: Chinese-speaking hacker used AI agents to steal 600,000 credit cards
• Gadget Review: AI Agents Stole 600,000 Payment-Card Records From 100-Plus Sites for About $25 a Scan