Este lunes amaneció un reporte que junta dos cosas que escribo acá todo el tiempo: agentes de IA corriendo solos y ciberseguridad improvisada. La diferencia es que esta vez los agentes estaban trabajando para el malo.
Reuters publicó una investigación junto al equipo de NorForge: un hacker que habla chino puso agentes de IA a trabajar contra más de 1.200 sitios web y comprometió a más de 100 empresas, entre ellas Deere, SharkNinja y Cummins. El gasto en tokens de la campaña, según la estimación del investigador Snorre Fagerland: unos 5.000 dólares. Unos 50 dólares por intrusión exitosa. Menos de lo que sale una hora de un pentester junior.
Todo empezó por un panel expuesto
Fagerland estaba escaneando internet buscando paneles de Cairn expuestos sin autenticación. Cairn es una plataforma open source de resolución de problemas: le das un objetivo y una meta, y coordina agentes que investigan, buscan debilidades y atacan. La gente la usa para pentesting legítimo, y los criminales para lo mismo pero dejando el dashboard en internet sin contraseña. Encontró más de 20 paneles con actividad maliciosa y los miró trabajar en vivo.
El grupo más activo, bautizado AIA0001, con 14 paneles y más de 1.100 proyectos de ataque, opera con pipeline de industria seria: alimenta a Cairn con tiendas online de Estados Unidos, Canadá, Japón y Australia, con tráfico entre 200 mil y 1,5 millones de visitas, validadas con Playwright antes de mandarlas. El objetivo: RCE sin autenticación. El payload preferido: un uploader simple, no un webshell completo. Menos ruido.
Las instrucciones del humano caben en menos de 100 caracteres en chino. El resto lo hace el agente: en promedio, unas 23 horas de escaneo metódico por intrusión. Todo apunta a que corrían DeepSeek V4.1 Flash bajo Claude Code, es decir, un modelo baratísimo como músculo de un harness de agentes.
Lo que me deja pensando
Primero: el opsec es lo que delata. Toda la campaña se descubrió porque los atacantes dejaron sus paneles abiertos al mundo. Yo también tengo cosas self-hosteadas en VPS, y esta es la trampa clásica: una interfaz web sin auth en la que confías porque «solo tú la conoces». No conoce nadie: hay motores de búsqueda de internet como Shodan mapeando esos paneles constantemente. Si corres herramientas de agentes en tu server, trata su panel como una llave de tu casa, no como un detalle.
Segundo: la economía cambió. Antes el cuello de botella era el talento humano: pocos capaces de explotar bien y con tiempo limitado. Ahora el cuello de botella es el costo de tokens, sobre 5 dólares por tarea según el propio reporte, con alta incertidumbre pero cifra elocuente. El skill está en armar el pipeline de alimentación, no en explotar la vulnerabilidad. Y los agentes no se aburren: pueden escanear la misma página de login durante 23 horas sin quejarse.
Tercero: tu tienda, tu WordPress, tu app con formulario de subida es la presa exacta de esto. Si tu stack tiene un upload sin validar o endpoints sin auth, no te salva que haya miles de sitios igual: al atacante ya no le importa el volumen, tiene capacidad para intentar con todos. Parchea, limita intentos, revisa logs. La paciencia infinita es la nueva oferta de mercado.
Detalle final que me encantó: en varios paneles, los dominios objetivo aparecían con la «w» de www comiéndose una letra más, «holesale» en vez de «wholesale». Un normalizador de dominios con bug corriendo a escala criminal. Hasta el hackeo automatizado tiene código encima del que nadie hizo code review.
Fuente del tema: Inside Cairn: Open Windows into massive AI-Driven Cyber Operations, del equipo de NorForge, con la investigación de Reuters.
Fuente de inspiración: Inside Cairn: Open Windows into massive AI-Driven Cyber Operations (NorForge)
