Un investigador de seguridad observó durante semanas cómo un atacante de habla china dejaba casi todo el trabajo a agentes de IA. Los agentes intentaron entrar en más de 1.200 sitios de comercio electrónico. Los objetivos estaban en Estados Unidos, Canadá, Australia y Japón. Lo consiguieron en más de cien empresas. El costo estimado de la campaña ronda los US$5.000 en tokens, unos US$50 por sitio comprometido. Los ataques con agentes de IA no necesitaron un equipo: los ejecutó una sola persona con instrucciones de menos de cien caracteres.
De acuerdo con lo publicado por Reuters, la campaña empezó el 25 de septiembre. Para fines de la semana siguiente ya había probado más de 1.200 objetivos. Entre las víctimas que el medio pudo identificar están Deere, SharkNinja y Cummins. Las tres respondieron que contuvieron el incidente y que no hallaron acceso a datos sensibles. Reuters no pudo establecer cuánta información se llevaron los atacantes.
El hallazgo viene de NorForge, una firma de investigación fundada este año. Sus analistas encontraron más de veinte paneles de control de Cairn expuestos sin contraseña. Cairn es una plataforma abierta que coordina agentes para resolver un problema por pasos. En manos de un atacante, ese motor se convierte en un sistema de intrusión. Los ataques con agentes de IA se definen con un objetivo y un blanco, y el sistema prueba caminos hasta llegar o agotarse.
Veintitrés horas de prueba y error sin supervisión
El operador escribía la tarea y los agentes hacían el resto. Cada uno anotaba en un pizarrón compartido lo que descubría y lo que pensaba hacer después. Los demás leían esas notas antes de mover ficha. Cuando una ruta fallaba, el agente probaba otra: una inyección SQL, un formulario de carga, una cadena de deserialización. El objetivo típico era instalar una web shell de carga, un archivo que permite subir otros y conservar el acceso.
Los intentos exitosos tomaban en promedio poco menos de 23 horas de sondeo automático. NorForge revisó una de las intrusiones que el propio agente daba por cerrada. La web shell seguía activa en el sitio de un gran proveedor de repuestos. El operador no necesitaba saber explotar cada falla: bastaba con definir el blanco y dejar correr el proceso. En un caso documentado, los agentes no hallaron un hueco en la aplicación pública de una empresa y buscaron un panel vinculado hasta dar con él.
Por qué los ataques con agentes de IA cambian el cálculo
La diferencia está en el costo marginal. Antes, comprometer cien sitios exigía cien veces el trabajo de uno. Con agentes, el operador paga tokens y espera. El modelo usado fue DeepSeek V4.1 Flash, barato y con caché de contexto, dentro de un entorno que NorForge identifica como Claude Code. La firma calcula unos US$5 por tarea si se cuentan los intentos fallidos, y más de US$100 en los proyectos largos.
El grupo de habla china era el más activo: catorce paneles y más de 1.100 proyectos de ataque. NorForge encontró otros dos conjuntos. Uno estaba en inglés y apuntaba al robo de tarjetas y criptomonedas; el otro tenía un solo panel y 59 proyectos, todavía en etapa exploratoria. La tasa de éxito global rondaba el 10%, aunque los objetivos de cada grupo no son comparables. Los paneles también dejaron a la vista credenciales y claves de API de los propios blancos: un escaneo validó el 11% de los secretos expuestos.
La investigación se apoya en paneles que los atacantes dejaron abiertos. No cubre la campaña completa. Reuters revisó la actividad por su cuenta para identificar víctimas, y NorForge advirtió a los afectados con ayuda del medio. El autor de Cairn, que publica como le1xia0, dijo en X que la plataforma no se diseñó para atacar y que ese uso no era su intención. La herramienta sigue disponible y el patrón puede repetirse con otros armazones abiertos.
Fuentes consultadas: Reuters (19/10), NorForge (19/10), The Next Web (19/10) y Unite.AI (19/10).
