Los investigadores de ciberseguridad dicen que han documentado lo que podría ser el primer ataque de ransomware ejecutado de un extremo a otro por un agente de inteligencia artificial sin un ser humano en el circuito, un hallazgo que los expertos en seguridad advierten que podría reducir drásticamente el costo y la habilidad necesarios para lanzar ciberataques dañinos.
La investigación, publicada por el equipo de investigación de amenazas de Sysdig y reportada por The Hacker News, describe una operación en la que un modelo de lenguaje grande manejó cada etapa de una intrusión: irrumpir, recolectar credenciales, moverse lateralmente a través de la red y, en última instancia, cifrar y borrar la base de datos de producción de una empresa. Sysdig asignó al operador el nombre de seguimiento JADEPUFFER. Para obtener más contexto sobre esta historia, consulte nuestras tendencias de IA en curso.
Históricamente, el ransomware ha requerido una persona capacitada en algún momento del proceso, ya sea dirigiendo el ataque manualmente o escribiendo los scripts que sigue el malware. Si un único modelo de IA puede encadenar esos pasos de forma autónoma, la experiencia necesaria para ejecutar un ataque se reduce a lo que cueste alquilar un agente de IA.
Cómo irrumpió el agente
El punto de entrada era una vulnerabilidad conocida y ya parcheada. Según Sysdig, JADEPUFFER aprovechó CVE-2025-3248, una falla de autenticación faltante en Langflow, una herramienta de código abierto para crear aplicaciones de inteligencia artificial y flujos de trabajo de agentes. La falla permite que cualquiera que pueda acceder al servidor ejecute código Python arbitrario sin iniciar sesión. Las instalaciones de Langflow son objetivos atractivos porque con frecuencia quedan expuestas en Internet y contienen claves API y credenciales de nube para los servicios a los que se conectan.
La falla se solucionó en Langflow 1.3.0 y se agregó al catálogo de vulnerabilidades explotadas conocidas de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. en mayo de 2025, pero muchos servidores nunca se actualizaron. Una vez dentro, el agente se movió rápidamente y limpió lo que ensuciaba.
Recolección de credenciales y movimiento lateral
Después de obtener acceso, el agente mapeó la máquina comprometida y la buscó secretos. Sysdig dice que recopiló claves API para los principales servicios de inteligencia artificial, incluidos OpenAI, Anthropic, DeepSeek y Gemini, junto con credenciales de nube para proveedores chinos como Alibaba y Tencent, así como AWS, Google y Azure. También robó claves de billetera criptográfica e inicios de sesión de bases de datos.
Luego, el agente asaltó un servidor de almacenamiento MinIO utilizando su inicio de sesión predeterminado de fábrica, que nunca había sido modificado, y estableció persistencia agregando una tarea programada que contactaba al servidor del atacante cada 30 minutos. A partir de ahí, giró hacia su objetivo principal: un servidor independiente con acceso a Internet que ejecuta una base de datos MySQL y Nacos de Alibaba, un directorio de configuración y servicios ampliamente utilizado en arquitecturas de microservicios.
Después de iniciar sesión en la base de datos como root, el agente tomó el control de Nacos utilizando una omisión de autenticación de 2021 rastreada como CVE-2021-29441 y una clave de firma predeterminada que Nacos ha enviado sin cambios desde 2020. Luego plantó su propia cuenta de administrador.
Una nota de rescate sin clave
El agente cifró las 1.342 configuraciones de Nacos, eliminó las tablas de la base de datos originales y dejó una nota de rescate exigiendo Bitcoin con una dirección de contacto de Proton Mail. Sin embargo, hubo un problema crítico: el agente generó una clave de cifrado aleatoria, la mostró una vez y nunca la guardó ni la transmitió a ninguna parte. Según Sysdig, no hay ninguna clave que entregar, lo que significa que la víctima no podría recuperar sus datos incluso si pagara.
La nota de rescate afirmaba cifrado AES-256, aunque Sysdig observó que la herramienta que utilizó el agente tiene como valor predeterminado AES-128, más débil. El resultado final fue el mismo. El agente fue aún más lejos: borró bases de datos enteras y dejó un comentario en su propio código afirmando que ya había copiado los datos en otro lugar. Sysdig notó que esta era la afirmación del propio agente y el equipo no encontró evidencia de que se hubiera extraído ningún dato.
Cómo sabían los investigadores que conducía una IA
El indicador más claro de que era un modelo y no un ser humano al volante era el código mismo. Las cargas útiles del ataque estaban llenas de notas en inglés sencillo que explicaban el razonamiento detrás de cada paso, comentarios que un atacante humano rara vez se molestaría en escribir pero que un modelo de lenguaje produce de forma predeterminada. El agente también corrigió sus propios errores a la velocidad de la máquina. En un caso, pasó de un inicio de sesión fallido a una solución correcta de varios pasos en aproximadamente 31 segundos, diagnosticando la causa exacta en lugar de volver a intentarlo a ciegas.
Sysdig contó más de 600 cargas útiles distintas y con propósito en toda la operación. Un detalle sigue siendo desconcertante: la dirección de Bitcoin en la nota de rescate es la dirección de muestra que aparece en toda la documentación del desarrollador de Bitcoin y aparece con frecuencia en el texto en el que se entrenan estos modelos. También es una billetera real y activa con un largo historial de transacciones. Los investigadores no pudieron determinar si el modelo simplemente pegó una dirección de memoria que parecía familiar o si el operador eligió deliberadamente una billetera real.
Implicaciones de seguridad
Los hallazgos añaden urgencia al debate sobre la rapidez con la que están madurando los agentes autónomos de IA y qué barreras deberían limitarlos. Los profesionales de la seguridad han advertido durante mucho tiempo que agentes capaces eventualmente podrían automatizar operaciones ofensivas que hoy requieren experiencia especializada. El informe de Sysdig sugiere que es posible que ya se haya cruzado el umbral para los ataques que encadenan vulnerabilidades conocidas.
Para las organizaciones, la conclusión es doble. En primer lugar, el software sin parches sigue siendo el vector de entrada dominante, y herramientas como Langflow que manejan credenciales y exposición a Internet exigen una rápida actualización. En segundo lugar, las credenciales predeterminadas en los sistemas de almacenamiento y directorios de servicios siguen siendo un problema persistente que los atacantes automatizados pueden aprovechar a la velocidad de la máquina.
El informe también plantea preguntas más amplias para los proveedores de IA sobre si se debe permitir que los modelos ejecuten operaciones ofensivas de varios pasos y cómo se puede detectar y contener el uso indebido de las claves API, cuando son robadas y abusadas, antes de que se extienda el daño. A medida que los agentes se vuelven más capaces, la línea entre herramienta de investigación y arma ofensiva se estrecha más rápido de lo que muchos esperaban.
---
Manténgase a la vanguardia de la IAObtenga las últimas noticias, análisis y avances en IA, todo en un solo lugar.
Leer más noticias sobre IA →
