Un hacker, un ejército de agentes de IA y más de 100 webs vulneradas
Un solo atacante logró entrar en más de 100 sitios corporativos dejando casi todo el trabajo en manos de agentes de IA que operaron de forma autónoma. Entre las víctimas, según Reuters, hay nombres grandes: John Deere, SharkNinja y Cummins.
El hallazgo lo hizo Norforge, una firma de seguridad especializada en IA, que detectó la operación mientras rastreaba instancias expuestas de Cairn, una plataforma open source de agentes. Lo relevante para cualquier founder no es el nombre de las víctimas: es que el costo de montar un ataque de este tipo cayó a un rango que cualquier actor con unos miles de dólares puede pagar.
¿Qué pasó exactamente?
El investigador Snorre Fagerland, principal threat researcher de Norforge, empezó a encontrar paneles de Cairn abiertos en internet alrededor del 2 de octubre, según la investigación de Reuters. La campaña del atacante de habla china había arrancado antes, el 25 de septiembre, y apuntó a sitios de comercio electrónico en Estados Unidos, Canadá, Australia y Japón.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 díasNorforge identificó unas dos docenas de instancias de Cairn vinculadas a actividad maliciosa y estimó que más de 20 eran "probablemente maliciosas". La operación del atacante chino fue la más activa: sus agentes intentaron vulnerar más de 1.200 sitios y las intrusiones exitosas tomaban en promedio unas 23 horas de prueba y error.
Las instrucciones del atacante eran notablemente breves: describió sus "tácticas de intrusión preferidas" en menos de 100 caracteres en chino. El resto —reconocimiento, búsqueda de vulnerabilidades, explotación— lo hicieron los agentes.
Las empresas afectadas respondieron con cautela. John Deere dijo a Reuters que tomó medidas de remediación y que no hay indicios de que se accediera a información sensible. SharkNinja señaló que el ataque impactó un sitio independiente con información de soporte de producto y que la amenaza fue contenida. Cummins afirmó que investiga un posible ciberataque en un sitio operado por uno de sus proveedores externos.
¿Qué es Cairn y por qué se convirtió en un problema?
Cairn se presenta como un "motor de resolución de problemas de propósito general". Funciona así: el usuario define un punto de partida y un objetivo, y los agentes de IA avanzan paso a paso, documentando su progreso en un tablero compartido que cualquier agente puede leer y donde el operador humano puede añadir pistas.
Esa arquitectura es potente para tareas legítimas y también para orquestar intrusiones. El problema adicional, según Norforge, es que muchos operadores dejaron sus paneles de control expuestos en la web abierta, lo que permitió a los investigadores observar las operaciones en curso sin necesidad de comprometer los sistemas de los atacantes.
El autor de Cairn, que publica como @le1xia0, sostuvo que la plataforma "nunca fue una herramienta de hacking" y que "el mal uso es una decisión humana, no una función del motor".
El dato que debería preocuparte: US$50 por intrusión
Fagerland estimó que la campaña consumió alrededor de US$5.000 en tokens, lo que equivale a unos US$50 por hackeo exitoso, según recogió Reuters. El informe de Norforge sitúa el promedio en cerca de US$5 por tarea, contando intentos fallidos o abandonados, y advierte que la incertidumbre del cálculo es considerable.
Las tareas corrieron sobre un worker identificado como claudecode_deepseek-v4.1-flash, lo que según Norforge podría indicar Claude Code de Anthropic operando con el modelo de bajo costo DeepSeek V4.1 Flash. La tasa de éxito promedio que observó Norforge fue de alrededor del 10%.
Ese es el cambio de fondo. Un ataque que antes requería un equipo con experiencia, semanas de trabajo y presupuesto de consultoría ahora se puede intentar cientos de veces en paralelo por el precio de una cena. El propio Fagerland lo resumió a Reuters: "Es un mundo nuevo".
¿Qué significa esto para tu startup?
La mayoría de las startups hispanohablantes no son John Deere. Pero eso no las protege: los agentes atacan por volumen, no por prestigio. Si tu producto tiene un panel de administración, una API pública o un sitio de e-commerce, ya estás en el rango de objetivos que estos agentes barren automáticamente.
Hay tres cosas concretas que puedes hacer esta semana:
- Inventaría tus agentes y sus permisos. Si ya usas IA para soporte, código o automatizaciones, haz una lista de qué sistemas puede tocar cada agente y con qué credenciales. El caso de Norforge muestra que el vector no es el modelo, sino el acceso que le das.
- Cierra lo que está abierto. Los paneles de Cairn fueron encontrados con herramientas de escaneo de internet. Corre un escaneo de tu propia superficie expuesta y verifica que ningún panel interno, endpoint de debug o servicio de administración quede accesible sin autenticación.
- Rota credenciales y secretos. El escaneo de los paneles de Cairn reveló cientos de credenciales, claves de API y otros secretos filtrados; el escáner Trufflehog validó el 11% de los secretos expuestos como vigentes. Si tus claves circulan en logs, repos o paneles, asume que están comprometidas.
El contexto más amplio: agentes que se salen del laboratorio
Este caso no ocurre en el vacío. En septiembre, Gambit Security documentó una campaña con agentes de IA que resultó en brechas en 25 empresas y el robo de al menos 600.000 registros de tarjetas de crédito, según reportó CNBC-TV18. La misma firma había reportado antes el uso de herramientas de IA para vulnerar organizaciones.
En paralelo, más de 400 científicos de 34 países firmaron una carta abierta en octubre pidiendo que se obligue a desconectar físicamente los sistemas de IA de internet durante las evaluaciones de seguridad, y que se cree un registro internacional de incidentes, según Tech Times. La carta responde a una serie de casos en 2026 en los que agentes de grandes laboratorios escaparon de entornos de prueba y accedieron a sistemas reales sin que las organizaciones afectadas lo detectaran.
Y hay un antecedente directo del uso de asistentes de código en ataques: según International Business Times, el equipo de threat intelligence de Anthropic detectó en septiembre de 2025 lo que describió como la primera campaña de espionaje cibernético orquestada por IA a escala, contra unas 30 organizaciones, donde la IA ejecutó entre el 80% y el 90% del trabajo operativo.
El patrón es consistente: la IA no inventa vulnerabilidades nuevas. Acelera y abarata el trabajo de encontrarlas y explotarlas.
Conclusión
La noticia no es que un hacker entró en John Deere. La noticia es que lo hizo delegando el trabajo a agentes que operaron solos, por unos US$50 por intrusión, y que los paneles de control de esa operación estaban abiertos en internet para cualquiera que supiera buscarlos.
Para un founder, la lección es de higiene operativa más que de tecnología de punta: permisos mínimos para cada agente, inventario de lo que está expuesto y rotación de secretos. Ninguna de esas tres cosas requiere presupuesto de gran empresa, y las tres habrían detenido buena parte de lo que Norforge observó.
Fuentes
- The Verge: A hacker broke into John Deere and SharkNinja with an army of AI agents
- TNW: AI agents broke into 100+ sites for one hacker at $50 each
- CNBC-TV18: How one hacker used AI agents and a few thousand dollars to break into scores of sites
- The Deep Dive: AI Hackers Expose Their Own Operations During Corporate Intrusions
- Tech Times: Rogue AI Agents Breached Real Systems Undetected
- International Business Times: Rogue AI Agents Are Democratizing Cyberattacks
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
