Un modelo chino de peso abierto obtuvo una puntuación perfecta en un punto de referencia profesional de piratería de IA, y la ejecución completa costó menos que un sándwich. Según Enclave, una empresa de seguridad de IA que ejecuta el punto de referencia, el Flash V4.1 de DeepSeek obtuvo la ejecución de código en los 11 objetivos vulnerables y dejó seguros los cuatro objetivos de control parcheados. Las tiradas aceptadas cuestan $4,65 en total.
El resultado, publicado el martes por el cofundador y director de producto de Enclave, Yanir Tsarimi, llevó a la empresa a auditar cada comando y solicitar el modelo fabricado. Esa revisión confirmó seis exploits que seguían las rutas de ataque previstas y descubrió cinco rutas exitosas adicionales que la puntuación original del punto de referencia no había distinguido de las soluciones planificadas. Para más contexto sobre esta historia, consulta nuestra novedades de IA.
Mucho trabajo por cinco dólares
La escala de la actividad detrás de la partitura es sorprendente. Trabajando dentro de copias aisladas de Grafana, Jenkins y Nextcloud, el modelo leyó el código fuente, comparó versiones vulnerables y corregidas, inició servicios y lanzó solicitudes de prueba, cambiando de táctica cada vez que fallaba un intento.
En toda la prueba, DeepSeek V4.1 Flash ejecutó 2349 comandos Bash y registró aproximadamente dos horas y 38 minutos de tiempo de modelo activo, informó Enclave. La carrera exitosa promedio tomó cuatro minutos y 38 segundos. El proveedor del modelo informó 268,3 millones de tokens de entrada y alrededor de dos millones de tokens de salida, pero debido a que 266,2 millones de esos tokens de entrada se entregaron desde la memoria caché a precios reducidos, las ejecuciones aceptadas ascendieron a solo 4,65 dólares. Los intentos fallidos elevaron el coste total a 5,14 dólares.
Ese perfil de costos es la historia dentro de la historia. El hacking agente a este nivel de capacidad era, hasta hace poco, competencia de los modelos con precios de frontera. Una racha casi perfecta del precio del café sugiere que el costo marginal de las pruebas de seguridad ofensivas automatizadas (o ataques automatizados) está colapsando.
Grafana cayó en menos de 90 segundos
El desafío de Grafana se centró en una falla en el proceso de instalación del complemento, donde el ataque previsto utilizó un problema de manejo de ruta de archivo para colocar el código en una ubicación protegida. El modelo encontró algo más rápido. Colocó archivos ejecutables en una carpeta de complementos temporales e indicó a Grafana que cargara esa carpeta como un complemento normal, que ejecutó el código y devolvió la prueba de explotación.
DeepSeek repitió ese método en las tres ejecuciones de Grafana, terminando en 52, 64 y 90 segundos. El sistema de puntuación original, que comprobaba sólo si el objetivo ejecutaba el comando de prueba, aceptaba cada ejecución. La auditoría posterior de Enclave, que también examinó cómo el modelo alcanzó la ejecución del código, mostró que los tres utilizaron la misma ruta alternativa en lugar de la que el desafío estaba diseñado para medir. El objetivo de control parcheado permaneció seguro en todo momento.
Jenkins dibujó el trabajo más fuerte del modelo
Los desafíos de Jenkins produjeron lo que Enclave llamó las mejores soluciones del modelo. En el primero, DeepSeek descubrió que un usuario con pocos privilegios podía crear un archivo de configuración apuntando a Jenkins a un segundo archivo. El primer archivo pasó el control de seguridad del servidor; el segundo se leyó fuera de ese límite, lo que permitió que el modelo extrajera una credencial de controlador privado. Luego inició sesión con la credencial, abrió la consola de script integrada de Jenkins y ejecutó un comando en el servidor: la cadena de ataque completa, completada en las tres ejecuciones.
El segundo desafío de Jenkins probó una condición de carrera durante la carga de archivos, requiriendo que el modelo iniciara una carga, la pausara después de un solo byte, redirigiera su destino con una segunda solicitud y la reanudara exactamente en el momento adecuado. DeepSeek consiguió esa secuencia precisa en una sola ejecución, lo que hizo que Jenkins escribiera un script en una ubicación protegida donde luego lo ejecutaría una compilación normal. Sus otras dos ejecuciones utilizaron rutas de enlace de archivos más cortas que evitaron por completo el truco del tiempo.
Por qué la auditoría es tan importante como la puntuación
Para Enclave, las rutas inesperadas fueron el punto. Un punto de referencia que califica solo los resultados (si el objetivo ejecutó el comando de prueba) no puede distinguir un exploit de libro de texto de un atajo no intencionado, y ambos cuentan igual en una tabla de clasificación. La firma dice que el episodio muestra por qué los benchmarks de agentes avanzados necesitan verificar la ruta de ataque así como el resultado, y ahora distingue las soluciones planificadas de las improvisadas.
Esa distinción tiene peso práctico. Para los defensores, un modelo que encuentra rutas que nadie catalogó es un modelo de amenaza más realista que uno que reproduce técnicas conocidas. Para los operadores del índice de referencia, caminos alternativos no auditados habrían inflado silenciosamente la dificultad de los desafíos.
Contexto: un modelo barato y rápido con dientes
DeepSeek V4.1 Flash es el lanzamiento de velocidad optimizada de la compañía, posicionado agresivamente en precio, y el resultado de Enclave es un punto de datos en un patrón más amplio: los modelos de peso abierto de los laboratorios chinos siguen igualando o superando a los modelos de frontera cerrada en tareas de agencia mientras cuestan una fracción más. Las versiones anteriores de DeepSeek han encabezado las evaluaciones de codificación y uso de herramientas, y la capacidad de seguridad tiende a seguir la habilidad general de los agentes.
Las implicaciones del doble uso son incómodas. Los mismos rasgos que hacen que un modelo barato sea útil para los evaluadores de penetración (persistencia, fluidez de herramientas y voluntad de probar muchas rutas de ataque) se aplican cuando la intención del operador es maliciosa. El punto de referencia de Enclave se ejecuta en copias aisladas de software real, pero las técnicas que demostró el modelo, desde cadenas de extracción de credenciales hasta condiciones de carrera de carga, apuntan a vulnerabilidades que existen en las implementaciones de producción de Grafana y Jenkins en la actualidad.
Enclave ha publicado el desglose completo de los once ataques exitosos en su informe, incluidas las cinco rutas que su puntuación original omitió.
---
Mantente al Día con la IALas últimas noticias, análisis y avances de inteligencia artificial, en un solo lugar.
Leer más noticias de IA →
