Agentes de IA ya automatizan ataques contra empresas

Ilustración editorial de múltiples agentes digitales intentando atravesar defensas luminosas frente a servidores empresariales

Por Redacción Pangea IA · 20 de octubre de 2026

Los agentes de inteligencia artificial ya no se limitan a ayudar a escribir código malicioso: pueden explorar objetivos durante horas, encadenar vulnerabilidades y dejar acceso persistente con muy poca intervención humana. Una investigación publicada por NorForge y contrastada por Reuters documenta más de 1.100 proyectos de ataque en el clúster principal y más de 100 sitios comprometidos en una campaña internacional. El hallazgo cambia la escala del riesgo para comercios electrónicos, proveedores tecnológicos y pymes con servicios web expuestos.

Qué se ha descubierto

NorForge localizó más de veinte paneles Cairn expuestos públicamente y aparentemente vinculados a actividades maliciosas. Cairn es un sistema abierto de resolución de problemas mediante varios agentes: recibe un objetivo, comparte los hallazgos en una pizarra común y decide qué paso ejecutar después. Puede servir para pruebas de penetración legítimas, pero los investigadores observaron paneles que lo utilizaban para buscar vulnerabilidades, instalar puertas de acceso y robar datos.

El grupo más activo, denominado AIA0001, reunía catorce paneles y más de 1.100 proyectos dirigidos sobre todo contra comercios electrónicos de Estados Unidos, Canadá, Japón y Australia. Reuters, que revisó de forma independiente la actividad del atacante, informó de más de 1.200 intentos y más de cien compromisos. Las dos cifras no son exactamente equivalentes: el informe técnico ofrece una fotografía de los proyectos observados, mientras que Reuters recoge el balance más amplio comunicado por el investigador Snorre Fagerland.

Entre las organizaciones identificadas por Reuters figuran Deere, SharkNinja y Cummins. Deere dijo haber aplicado medidas correctoras y no tener indicios de acceso a información sensible. SharkNinja señaló que el incidente afectó a un sitio independiente de soporte de producto y que la amenaza fue contenida. Cummins explicó que investigaba un posible ataque contra una web operada por un proveedor externo. Reuters no pudo determinar hasta qué punto las intrusiones provocaron extracción no autorizada de datos.

Cómo trabajaban los agentes autónomos

El patrón observado no era el de un chatbot dando instrucciones puntuales. El operador proporcionaba una meta breve y los agentes se encargaban de reconocer dominios, localizar servicios asociados, probar entradas, combinar técnicas y comprobar si habían alcanzado el objetivo. En un caso descrito por Reuters, el sistema no halló una debilidad en la aplicación principal, rastreó infraestructura relacionada, encontró un panel público y terminó explotando una forma sutil de procesar datos para ejecutar comandos.

NorForge calcula que los proyectos exitosos del clúster AIA0001 tardaban de media algo menos de 23 horas desde el inicio hasta alcanzar su meta. La tasa de éxito global rondaría el 10 %, según su estimación, aunque la definición de éxito variaba entre actores y muchos intentos obtenían información útil sin completar el ataque. No es una tasa medida en un ensayo controlado, sino una aproximación basada en los paneles visibles.

La economía también importa. El informe estima un coste medio cercano a cinco dólares por tarea, con una incertidumbre considerable y proyectos largos que podían superar los cien. Fagerland calculó para Reuters que la campaña principal consumió alrededor de 5.000 dólares en tokens, aproximadamente 50 dólares por intrusión exitosa. Son estimaciones, no facturas auditadas, pero muestran cómo la automatización permite mantener cientos de intentos en paralelo a bajo coste.

Qué modelos y herramientas aparecen

NorForge observó un trabajador llamado claudecode_deepseek-v4.1-flash, que podría corresponder a un arnés de Claude Code usando DeepSeek V4.1 Flash. Otros paneles parecían emplear DeepSeek a través de OpenRouter. Esta nomenclatura indica la configuración vista en el sistema, pero no demuestra que Anthropic, DeepSeek u OpenRouter conocieran o autorizaran el uso delictivo. El autor de Cairn declaró que su plataforma no fue diseñada para ataques dañinos.

La facilidad de conectar modelos baratos con navegadores, escáneres y herramientas ofensivas explica el salto. Pangea IA ya analizó cómo DeepSeek abrió funciones de búsqueda para agentes y cómo ARTEX fue retirado tras ataques a bancos de Corea del Sur. El nuevo caso añade una prueba a escala: no se trata de una demostración de laboratorio, sino de campañas reales observadas mientras estaban en marcha.

Por qué afecta especialmente a pymes y comercios

Los agentes no necesitan que una empresa sea famosa. Les basta con que un sitio tenga tráfico, procese pagos o exponga una combinación aprovechable de software antiguo, configuraciones débiles y paneles olvidados. El informe muestra una selección automatizada de objetivos por país, tráfico y capacidad de completar compras. Esa lógica convierte en candidatos a miles de comercios medianos que antes podían pasar inadvertidos para un atacante humano.

La velocidad es el segundo cambio. Un equipo pequeño puede mantener agentes buscando fallos durante un día entero, probando rutas alternativas y reutilizando lo aprendido. Esto reduce el valor defensivo de confiar en que una vulnerabilidad “poco evidente” no será descubierta. También aumenta el riesgo de la cadena de suministro: Cummins investiga una web de un tercero, y muchos negocios españoles delegan tienda, soporte, campañas y alojamiento en proveedores distintos.

El tercer riesgo son los secretos. NorForge pasó un escáner por los datos expuestos en los paneles y encontró cientos de credenciales, claves y otros secretos; el 11 % seguía siendo válido según su comprobación. El problema alcanzaba incluso a equipos legítimos de pruebas de penetración que habían dejado sus paneles sin proteger. Un agente ofensivo inseguro puede comprometer tanto al objetivo como a su propio operador.

Qué debería hacer una empresa ahora

La respuesta no requiere comprar una supuesta “IA defensiva” de inmediato. Requiere reducir el número de oportunidades que un sistema automatizado puede probar y mejorar la capacidad de detectar intentos persistentes. Para una pyme, estas son las prioridades más rentables:

  1. Inventariar toda la superficie pública. Incluye dominios, subdominios, paneles, tiendas antiguas, entornos de pruebas y servicios de proveedores. Lo que el equipo ha olvidado puede seguir visible para un escáner.
  2. Actualizar primero lo expuesto a Internet. CMS, módulos de comercio electrónico, bibliotecas, servidores y paneles deben tener responsables y plazos de parcheo. Si no se puede corregir un fallo, hay que aislar o retirar temporalmente el servicio.
  3. Revisar accesos y secretos. Rotar claves de API y credenciales antiguas, aplicar mínimo privilegio y autenticación multifactor, y evitar que un secreto válido aparezca en registros, repositorios o paneles de pruebas.
  4. Centralizar registros y alertas. Buscar exploraciones prolongadas, rutas inusuales, errores repetidos, creación de archivos, cambios de sesiones y comandos inesperados. La guía de OWASP sobre registros recuerda que el objetivo no es acumular datos, sino conservar señales útiles y protegidas.
  5. Probar las aplicaciones como lo haría un atacante. OWASP ASVS y la Web Security Testing Guide ofrecen listas verificables para autenticación, sesiones, validación de entradas, subida de archivos y ejecución de código.
  6. Exigir visibilidad a proveedores. Contratos y revisiones deben cubrir inventario, parches, registro de incidentes, rotación de credenciales y notificación rápida. Externalizar una web no externaliza el impacto reputacional ni regulatorio.

INCIBE mantiene guías específicas para empresas y comercio electrónico, y ENISA recomienda procedimientos de parcheo conectados con la gestión de vulnerabilidades y de cambios. Para organizaciones con pocos recursos, el orden importa: activos públicos, fallos críticos, credenciales y registros antes que proyectos más sofisticados.

Lo que todavía no sabemos

El informe no ofrece una lista pública completa de víctimas porque varios paneles seguían activos y contenían información sensible. Tampoco permite atribuir las campañas a un gobierno, y NorForge considera que los actores observados tenían motivación económica. No conocemos el volumen total de datos robados ni cuántos sitios permanecen comprometidos.

Tampoco debe concluirse que cualquier agente pueda vulnerar cualquier web. La mayoría de los proyectos no alcanzó su meta y los resultados dependían de fallos reales en los objetivos. La novedad está en la persistencia y el coste: un atacante puede encargar cientos de búsquedas paralelas y esperar a que algunas encuentren una combinación válida.

Un cambio de escala, no de fundamentos

Los controles básicos siguen siendo los mismos, pero el margen para aplicarlos tarde se reduce. Antes, una vulnerabilidad rara podía permanecer sin explotar porque exigía tiempo y conocimientos. Un agente que prueba durante 23 horas, comparte hallazgos y cambia de estrategia convierte ese tiempo en software reproducible. La defensa debe asumir que cada servicio público será explorado de forma continua.

La conclusión razonable no es que la IA haya creado una ciberamenaza invencible. Es que ha abaratado la perseverancia del atacante. Para pymes y proveedores europeos, la ventaja estará en conocer su superficie, corregir rápido y conservar suficientes registros para detectar una intrusión antes de que un acceso inicial se convierta en robo o extorsión. El movimiento de empresas como Cohere hacia herramientas que buscan vulnerabilidades con IA muestra que la misma automatización también puede reforzar la defensa, siempre que se despliegue con controles y autorización.

Lecturas relacionadas

Fuentes consultadas

Recibe las nuevas publicaciones de Pangea IA

Suscríbete gratis y recibe por correo las nuevas noticias, guías y análisis sobre inteligencia artificial.

Comparte esta noticia:

Deja una respuesta