Un hacker chino usó agentes de IA para atacar 100 webs

Un atacante, 1.200 intentos y una factura de US$5.000 en IA

Un atacante de habla china lanzó enjambres de agentes de IA contra más de 1.200 sitios web y comprometió páginas de más de 100 empresas, entre ellas el fabricante de maquinaria agrícola Deere, la firma de electrodomésticos SharkNinja y el fabricante de motores Cummins. El costo estimado de toda la campaña: unos US$5.000 en tokens, es decir, alrededor de US$50 por cada hackeo exitoso.

Para un founder, el dato que importa no es la cantidad de víctimas sino el costo unitario. Cuando una intrusión técnicamente compleja cuesta menos que una cena de equipo, la barrera de entrada al cibercrimen deja de ser el talento y pasa a ser la creatividad.

La investigación la firma Snorre Fagerland, investigador principal de amenazas de la firma de ciberseguridad NorForge, que entregó su informe a Reuters antes de su publicación el lunes. El informe no revelaba los nombres de las víctimas: Reuters los identificó de forma independiente analizando la actividad del atacante en Cairn.

¿Cómo descubrieron la campaña de agentes de IA?

Fagerland no entró a la infraestructura del atacante: la encontró abierta. Desde aproximadamente el 2 de octubre, escaneando la web en busca de instancias expuestas de Cairn —una plataforma de código abierto de resolución de problemas basada en IA, popular entre hackers— halló unas dos docenas de instancias usadas con fines maliciosos. Eso le permitió observar en tiempo real cómo trabajaban los agentes.

Cairn funciona como un motor de propósito general. Se le da un punto de partida y un objetivo, los agentes avanzan por su cuenta y publican lo que encuentran en un tablero compartido, y el operador humano puede ir dejando pistas sobre la marcha. La herramienta está pensada para pruebas de penetración autorizadas. Su autor, que firma como @le1xia0, aseguró a Reuters que la plataforma "no fue diseñada para ataques informáticos" y que su uso dañino "no es mi intención".

Según el análisis difundido por Reuters, NorForge agrupó los paneles expuestos en racimos y consideró más de veinte como probablemente maliciosos. El más activo, bautizado AIA0001, es de idioma chino y vincula 14 paneles con más de 1.100 proyectos de ataque. El objetivo aparente no era el golpe puntual, sino dejar acceso persistente a tiendas y sistemas de pago para usarlo más adelante.

Instrucciones de 100 caracteres y 23 horas por intrusión

Las instrucciones del atacante eran mínimas: menos de 100 caracteres en chino para esbozar sus tácticas preferidas. Desde el 25 de septiembre apuntó sus agentes a sitios de comercio electrónico de Estados Unidos, Canadá, Australia y Japón. Cada intrusión exitosa le llevó en promedio unas 23 horas de búsqueda y análisis autónomo de vulnerabilidades, con una tasa de éxito cercana al 10% sobre el total de intentos.

El detalle técnico que más impresionó a Fagerland: en un caso, tras no encontrar fallas en la aplicación pública de una gran empresa, los agentes revisaron registros digitales, dieron con un panel de control público, detectaron una vulnerabilidad sutil en la forma en que se procesaban los datos y, tras horas de ensayo y error, consiguieron engañar al servidor para que ejecutara comandos maliciosos.

"No es sencillo idear soluciones como esa", declaró el investigador. "No es cosa de script kiddies".

Otra intrusión documentada combinó escritura no autorizada en un almacén de sesiones memcached, manejo inseguro de objetos PHP y código antiguo de Zend Framework. Cada víctima requirió una ruta distinta: no existe un método único que se pueda parchear de una sola vez.

Reuters no pudo determinar en qué medida las brechas derivaron en extracción no autorizada de datos. Deere dijo haber tomado "las medidas correctivas necesarias" y no ver indicios de acceso a información confidencial; SharkNinja sostuvo que el ataque afectó a un sitio independiente con información de soporte técnico y que la amenaza fue contenida; Cummins informó que investiga un posible ataque a un sitio gestionado por uno de sus proveedores externos.

¿Cuánto cuesta hoy una campaña de hackeo con IA?

Los números de esta operación se cruzan con los de otra campaña documentada por la firma israelí Gambit Security. Según el reporte que Gambit publicó el 22 de septiembre y que recogió TNW, un atacante usó tres frameworks de agentes —Strix, Cairn y Hermes— sobre modelos DeepSeek, Kimi y Claude Opus 4.6 para comprometer al menos 27 empresas en cinco días y robar más de 600.000 registros de tarjetas de crédito.

Ahí el costo por objetivo quedó todavía más explícito. Como publicó BleepingComputer citando a Gambit, el promedio fue de US$25,46 por escaneo completado, con un piso de US$3,13 y un techo de US$79,31. La cuenta de OpenRouter del operador gastó US$7.005,71 en unas cuatro semanas y el costo total estimado de la campaña quedó entre US$12.000 y US$18.000. Gambit confirmó además skimmers en 19 víctimas identificadas y los vinculó con más de un centenar de sitios comprometidos.

Un detalle de esa investigación es una señal alentadora para quien construye con modelos frontera: los intentos de usar versiones más nuevas de Claude fueron rechazados, lo que sugiere que los guardrails de los modelos más recientes sí bloquean el uso criminal explícito. La barrera no desapareció; se movió de capa.

¿Qué significa esto para tu startup?

Tres cosas concretas, y ninguna depende de tener un equipo de seguridad dedicado.

1. Tu exposición no depende de tu tamaño. El atacante no elegía por marca, elegía por superficie de ataque. Gambit señala que priorizaba sitios con software a medida, presumiblemente porque son más propensos a arrastrar fallas sin parchear. Si tu producto corre sobre código propio, plugins de terceros o un CMS viejo, entras en esa lista.

2. Tus propias herramientas de IA también son un agujero. Es el hallazgo menos comentado del caso: los paneles de Cairn expuestos mostraban a quién se atacaba, qué vulnerabilidades se habían encontrado y qué credenciales y claves se habían robado. NorForge pasó el escáner de secretos TruffleHog sobre los datos de esos paneles y encontró cientos de claves, de las cuales 11% seguía vigente. Además, firmas legítimas de pruebas de penetración dejaron pruebas reales de sus clientes en paneles sin asegurar. Paneles de este tipo suelen responder en el puerto 8000: vale la pena comprobar si tienes uno expuesto y sin login.

3. La limpieza del atacante puede ser tan dañina como el robo. Gambit documentó que las rutinas de limpieza de los agentes borraron datos de las víctimas: en un caso, 180 tablas de base de datos, incluidas copias de seguridad hechas por los propios administradores del sitio.

Checklist para esta semana:

• Escanea tu infraestructura en busca de paneles de control de agentes o herramientas de IA expuestos sin autenticación, especialmente en puertos no estándar como el 8000.
• Corre un escáner de secretos sobre repositorios y entornos de prueba. Si una clave estuvo expuesta, rótala: borrarla del código no la invalida.
• Busca formularios de subida de archivos inesperados en directorios ocultos. Ese fue el punto de apoyo preferido de los agentes, que buscaban ejecutar código y plantar un uploader de web shell.
• Si tu tienda corre Magento o Adobe Commerce, aplica el hotfix de Adobe para StyleSmuggler (CVE-2026-75650): las versiones afectadas son Adobe Commerce 2.4.4 a 2.4.9 y Magento Open Source 2.4.6 a 2.4.9. NorForge encontró un proof of concept de esa falla en un directorio de trabajo de la campaña, aunque sin evidencia de que se haya usado en estas intrusiones.

El contexto: los agentes ya viven en el submundo cibercriminal

El caso de Cairn no es un episodio aislado. Fagerland dijo que antes daba por sentado que los agentes atacantes necesitarían al menos cierta supervisión humana; hoy le parece evidente que la tecnología superó esa etapa: "Ahora estamos en un mundo nuevo".

La firma de ciberinteligencia Bitsight señaló la semana pasada que en los foros de ciberdelincuentes se multiplican los debates sobre cómo utilizar agentes autónomos. Corea del Sur y Japón vivieron en las últimas semanas una serie de ataques muy publicitados atribuidos a delincuentes que usan IA. Y un estudio de IBM citado en la cobertura del sector encontró que una de cada cuatro brechas maliciosas registradas entre marzo de 2025 y febrero de 2026 fue habilitada por IA, un 56% más que el año anterior.

La lectura estratégica para un founder es incómoda pero clara: la IA abarató atacar más rápido de lo que abarató defenderse. Un equipo de producto de veinte personas compite contra agentes que sondean sin descanso durante casi un día completo y cuestan decenas de dólares.

Conclusión

El valor de la investigación de Fagerland no está en el dramatismo, sino en la trazabilidad: por primera vez se puede ver, paso a paso, un ataque completo ejecutado por agentes autónomos con su factura de tokens al lado. Eso permite calibrar el riesgo con números en lugar de con miedo.

Y la defensa que más rinde hoy es la menos glamorosa. Inventario de lo que está expuesto a internet, rotación de credenciales y parches al día. No hace falta desplegar un ejército de agentes para eso: hace falta disciplina, y casi siempre cuesta menos que los US$50 que el atacante necesitó para entrar.

Fuentes

• La Nación: Cómo un pirata chino usó agentes de IA y US$5000 para entrometerse en decenas de sitios web (fuente original)
• The Hacker News: Hackers Use Autonomous AI Agents to Breach Company Websites
• The Verge: A hacker broke into John Deere and SharkNinja with an army of AI agents
• Gizmodo: The Fear of a One-Man-Band Weaponizing AI Agents Is Becoming Reality
• TNW: AI agents stole 600,000 credit cards for about $25 a target, Gambit says
• BleepingComputer: Malicious AI agents steal 600K credit cards
• Yahoo News: Chinese-speaking hacker used AI agents to steal 600,000 credit cards