Ciberataque con IA: agentes entraron en más de 100 empresas

El 19 de octubre, Raphael Satter, de Reuters, contó cómo un hacker de habla china entró en pocas semanas en los sitios web de más de 100 empresas, entre ellas Deere, SharkNinja y Cummins. Ese mismo día, Snorre Fagerland, de NorForge, publicó un informe sobre la plataforma Cairn, en la que se apoyó este ciberataque con IA: casi todo el trabajo lo hicieron agentes de IA, no una persona.

¿Cómo fue este ciberataque con IA?

Cairn es una plataforma de código abierto en la que se da a los agentes de IA un objetivo y una tarea, y ellos avanzan paso a paso hasta conseguirlo. Cada tarea es un proyecto aparte, los agentes apuntan sus hallazgos en un tablero compartido y el operador puede añadir pistas. Fagerland dio con todo el asunto mientras escaneaba internet en busca de paneles de Cairn expuestos públicamente. Los operadores, sencillamente, no los habían protegido (el informe solo comenta que “securing their own infrastructure does not appear to be among their strengths”).

Según el informe de NorForge:

1. Más de 20 paneles se usaban, con toda probabilidad, para delinquir. El investigador los dividió en tres grupos.
2. El grupo más grande, de habla china, sumaba 14 paneles y más de 1100 proyectos de ataque contra tiendas online de EE. UU., Canadá, Japón y Australia. Los agentes debían encontrar la forma de ejecutar código en remoto y dejar en el servidor un archivo que permitiera subir más archivos, es decir, también un acceso persistente.
3. El segundo grupo, de habla inglesa, recibía tareas del tipo “fetch credit cards” o “fetch crypto”.
4. Una intrusión con éxito les llevaba a los agentes de media algo menos de 23 horas, y un proyecto duró más de cinco días.
5. La tasa media de éxito rondaba el 10 %.

Según Reuters, hasta finales de la semana pasada los agentes habían intentado entrar en más de 1200 sitios.

¿Cuánto costó y qué modelos se usaron?

Aquí viene lo más interesante. Fagerland calcula que toda la campaña consumió tokens por unos 5000 USD, más o menos 50 USD por intrusión con éxito. En el informe, el coste medio de una tarea (contando las fallidas) ronda los 5 USD, con la salvedad de que la incertidumbre es “considerable”.

Las tareas del grupo más grande pasaban por un worker llamado claudecode_deepseek-v4.1-flash. Según NorForge, podría tratarse del harness de agentes Claude Code impulsado por el modelo barato DeepSeek V4.1 Flash. El segundo grupo usaba workers pi_openrouter_deepseek, es decir, muy probablemente el framework Pi con modelos DeepSeek a través de OpenRouter. Es una interpretación de los nombres, no una confirmación de Anthropic ni de DeepSeek: ninguna de las dos empresas hizo comentarios en el artículo de Reuters.

Curiosamente, los paneles no solo revelaron los objetivos de los ataques. Contenían cientos de secretos: contraseñas, claves de API y otras credenciales de acceso. La herramienta Trufflehog confirmó que el 11 % seguía funcionando. En los paneles expuestos también había proyectos de empresas legítimas de pruebas de seguridad, junto con los datos de sus clientes.

¿Qué dicen las empresas afectadas?

A las víctimas las identificó Reuters, no el informe de NorForge. Según sus comunicados:

1. Deere tomó “necessary remediation actions” y no tiene indicios de que nadie accediera a datos sensibles.
2. En SharkNinja el ataque afectó a un sitio aparte con información de soporte de productos, y la amenaza está contenida.
3. Cummins está revisando un aviso sobre un posible ataque a un sitio gestionado por un proveedor externo.

Reuters no pudo determinar cuántos datos se filtraron (ni si se filtró alguno). El autor de Cairn, que en X se hace llamar le1xia0, escribió que la plataforma “was not designed for hacking attacks” y que nunca pretendió un uso dañino.

¿Por qué está dando tanto que hablar?

Porque es otra prueba de que los agentes de IA ya entran en empresas reales casi sin supervisión humana. Fagerland le dijo a Reuters que daba por hecho que estos agentes aún necesitarían al menos algo de control, y que la tecnología ya ha dejado atrás esa etapa. Lo resumió en pocas palabras: “It’s not script kiddie stuff” y “The development in this field is astounding”.

El contexto es inquietante. El artículo de Reuters recuerda que en agosto Gambit Security describió a un grupo que entró en siete organizaciones con ayuda de una herramienta de IA, y en septiembre una campaña de agentes que afectó a 25 empresas y al menos 600 000 registros de tarjetas de crédito. Según Bitsight, en los foros de delincuentes también se habla cada vez más de agentes autónomos.

Hace unos días escribí sobre la filtración de OpenCode, en la que uno de los creadores de la herramienta habló de un “whole new world with ai powered hacking”. Por lo visto, no exageraba :(

FAQ

¿Fue Claude Code el que entró en las empresas?

No se sabe con certeza. El nombre del worker apunta al harness Claude Code con el modelo DeepSeek V4.1 Flash, pero es solo la interpretación de NorForge. El modelo en sí es DeepSeek, y Claude Code sería aquí (una) capa más que llama a las herramientas.

¿Qué es Cairn?

Es una plataforma de código abierto que coordina agentes de IA que trabajan en un mismo objetivo, con un tablero compartido de hallazgos. Según su autor, no se creó para hackear, pero el informe de NorForge la define sin rodeos como un “AI-powered hacking system”.

¿Cuánto cuesta un ciberataque con IA?

En esta campaña, según los cálculos de Fagerland, unos 50 USD en tokens por intrusión con éxito y unos 5 USD por cada tarea, incluidas las fallidas. El propio Fagerland subraya que son estimaciones con mucha incertidumbre.