LLMjacking: los piratas alquilan la IA de otros y la cuenta se la come el dueño

📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.

La factura que nadie reconoce

El 9 de octubre, un proveedor de inferencia de IA bastante conocido (Fireworks, el mismo que usan startups como Cursor o Notion para afinar sus modelos) avisó que alguien había usado credenciales internas para leer variables de entorno. El tono del aviso era tranquilo: variables de entorno, algunos secretos de evaluación, nada más. Tres semanas después, el 9 de noviembre, el mismo incidente creció: los atacantes también llegaron a facturación, datos de clientes y —para un grupo limitado de cuentas— a datasets y pesos de modelos a medio entrenar.

Si trabajas con IA en serio, esa segunda línea es la que duele. Una tarjeta de crédito comprometida se bloquea y se repite en cinco minutos. Los pesos incompletos de un modelo afinado con datos propietarios son el negocio: meses de horas de GPU, decisiones de entrenamiento, datos que quizá ningún cliente tiene respaldados fuera de la plataforma.

Cómo entraron: dos olas

Según el boletín actualizado de la propia empresa, hubo dos caminos. Primero, el 6 de octubre, credenciales internas mal usadas. Después, algo más interesante: el proveedor de cloud que hospedaba las máquinas de investigación y desarrollo de Fireworks también había sido comprometido el 23 de octubre, y al día siguiente el intruso usó esa puerta lateral para llegar a las máquinas de desarrollo y lanzar una carga de trabajo no autorizada. La detectaron el mismo día y dicen que no hubo más accesos exitosos desde el 25.

La motivación, según la empresa (y en línea con lo que Mandiant y Google Threat Intelligence publicaron el 2 de noviembre), es una modalidad que ya tiene nombre: LLMjacking. Los piratas roban acceso a infraestructura de modelos, revenden los tokens por gateways ilícitos, y la cuenta —claro— se la come el dueño legítimo. No es un phishing clásico ni un ransomware: es alguien viviendo en tu GPU como si fuera Airbnb, con tu tarjeta.

Lo que yo hago distinto para no ser el caso de estudio

Este tipo de noticia me confirma una decisión que tomo hace años: los datos que no quiero que lea nadie más no suben a un SaaS de terceros. En mi infraestructura (VPS, crons, bases de datos propias) puedo verificar rotación de llaves, puedo revisar la factura y puedo apagar el enchufe yo mismo. Cuando delegas la inferencia a una plataforma, la cadena de confianza se alarga: tu dataset pasa por tu máquina, la de ellos, la del cloud de ellos y quizá una más. Cada eslabón es un incidente en potencia.

Antes de subir cualquier dataset a un servicio así, hago tres preguntas que recomiendo adoptar: ¿dónde vive físicamente mi data cuando no la estoy usando?, ¿quién puede leerla?, ¿cuánto demorarían en avisarme si algo pasa? En este caso pasaron tres semanas entre el primer aviso y la ampliación del alcance. Además, la firma clásica del LLMjacking es un gasto de cómputo que no reconoces: si usas servicios facturados por token o por GPU, revisa el detalle de cada boleta, no solo el monto.

La lección de comunicación

Y una nota fina para quienes hacen divulgación de seguridad: un incidente no está contado en su primer aviso. El «solo fueron variables de entorno» de octubre terminó siendo «también secretos, datasets y pesos» en noviembre. No es cinismo acusar; con Unit 42 de Palo Alto investigando y credenciales rotadas, la respuesta técnica parece competente. Pero es el segundo compromiso en un mes, y eso ya no es mala suerte: es patrón. Cuando una empresa con más de 10.000 clientes corporativos acumula dos hacks en semanas, la conversación deja de ser «qué falló» y pasa a ser «cuánto riesgo acepto por acá».

La conclusión que me llevo: la comodidad de la inferencia gestionada es real, pero el precio no se mide solo en dólares por millón de tokens. Se mide en a quién le confías tus datos de entrenamiento y qué tan rápido te enteras cuando la cadena se rompe. En este caso, el dueño de la GPU ni siquiera pidió un préstamo: le alquilaron su inteligencia a piratas y él firmó la boleta.

Fuentes: boletín de seguridad actualizado de Fireworks (9-nov-2026) y Forbes, Anna Tong (9-nov-2026).

Fuente de inspiración: Update on October 2026 security incident (Fireworks AI)