Cincuenta dólares por intrusión: el ataque se convierte en cadena de montaje

La cuenta más citada de esta historia es una estimación. La cuenta que realmente importa es la que las empresas aún no han hecho: cuánto cuesta darse cuenta a tiempo. Cinco mil dólares en tokens, más de mil doscientos sitios web atacados, más de cien empresas comprometidas. A partir de estas tres cifras, el investigador Snorre Fagerland, de NorForge, derivó un coste medio de unos cincuenta dólares por cada intrusión lograda, según informó Reuters el 19 de octubre. Parece una lista de precios, pero no lo es, y conviene entender el motivo de inmediato.

El informe técnico no contiene ni los cinco mil ni los cincuenta: contiene una estimación de unos cinco dólares por tarea, intentos fallidos incluidos, con la advertencia de que no existen datos reales sobre el consumo de tokens y que la incertidumbre es considerable. Con una tasa de éxito cercana al diez por ciento, cinco dólares por intento se convierten en cincuenta por éxito, y mil doscientos intentos alcanzan el mismo orden de magnitud que los cinco mil dólares. Son tres formas de leer una misma cifra, no tres confirmaciones independientes.

Sin embargo, la cifra, aun relativizada por su fragilidad, dice algo grave. No que ciberatacar cueste cincuenta dólares, sino que para quien ya ha construido la máquina, cada intento adicional cuesta lo mismo que un café en la barra. Es la diferencia entre coste fijo y coste marginal: el primero es el esfuerzo de poner en marcha la cadena de montaje; el segundo es el precio de una unidad más. Este artículo intenta examinar ambos lados de la barra. Por un lado, cómo nació esta economía; por otro, qué necesitan quienes defienden, que en esta historia parecen ir con retraso.

Detrás del panel abierto

Cairn es una plataforma libre, creada para resolver problemas mediante múltiples agentes que colaboran. Cada tarea tiene un punto de partida y un objetivo; los agentes escriben lo que descubren en una pizarra compartida, y un operador humano puede añadir sugerencias. NorForge señala que llamarlo motor de pruebas de penetración autónomo no es del todo preciso, ya que su origen es más genérico. Pero sus usos observados dicen otra cosa.

Fagerland los encontró porque muchos operadores dejaron sus paneles de control abiertos en la red, visibles mediante buscadores que mapean servidores. Identificó más de veinte paneles, calificados como verosímilmente maliciosos, agrupados en tres conjuntos. El más activo, en idioma chino, utilizaba catorce paneles y más de mil cien proyectos. Los objetivos eran tiendas en línea de Estados Unidos, Canadá, Japón y Australia con un tráfico de entre doscientas mil y un millón y medio de visitas, verificadas previamente mediante herramientas de automatización de navegador para comprobar que los pedidos se completaban con éxito. El objetivo indicado en las tareas consistía en encontrar una vulnerabilidad de ejecución de código sin autenticación y colocar un formulario de subida de archivos, evitando explícitamente una consola interactiva de comandos. Para NorForge, la meta parecía ser el acceso persistente a los sistemas de pago, para explotarlo más adelante.

Aquí conviene corregir el relato más simplificado. Las instrucciones, según Reuters, ocupaban menos de cien caracteres chinos, lo que alimentó la imagen del hacker que escribe una sola línea y se marcha. Pero el informe muestra un flujo de tareas alimentado de forma automática, con objetivos previamente seleccionados y validados. El trabajo humano no desapareció: se desplazó aguas arriba, hacia la construcción de ese flujo. Un detalle cómico lo confirma: en muchas direcciones web faltaba la «w» inicial, síntoma de un normalizador de dominios mal programado. Un segundo conjunto, en inglés, apuntaba a tarjetas de crédito y criptomonedas, y en muchos proyectos la instrucción técnica se reducía a un «consígueme tarjetas de crédito» o poco más. Un tercero era más exploratorio, calificado como malicioso con baja confianza.

Las intrusiones logradas requerían un promedio de algo menos de veintitrés horas, reuniendo unos ciento cuarenta datos por proyecto, y un caso se prolongó durante más de cinco días. Reuters informa sobre agentes que, al no encontrar fallos en la aplicación web pública de una gran empresa, se desplazaron a la infraestructura vinculada, hallaron un panel de gestión y, tras horas de intentos, lograron que el servidor ejecutase comandos. NorForge documenta otra cadena contra un proveedor de recambios: escritura no autorizada en un almacén de sesiones, deserialización insegura de objetos PHP y componentes Zend obsoletos. Nada exótico. El conjunto de herramientas del agente, enumerado en el informe, es el de cualquier analista de ciberseguridad, desde Nmap hasta ffuf. En las notas de trabajo quedó incluso el rastro de una configuración reciclada de una competición de seguridad celebrada en China, sin indicación alguna de que los organizadores tuvieran relación con el ataque.

Entre los nombres destacados figuran Deere, SharkNinja y Cummins, que deben tratarse con la cautela de sus respectivas respuestas. Deere declaró haber tomado medidas correctoras y no tener indicios de acceso a datos confidenciales. SharkNinja afirmó que el incidente afectó a un sitio web independiente de asistencia de productos y que la amenaza fue contenida. Cummins señaló estar investigando un posible ataque a un sitio gestionado por un proveedor. Dos empresas menores admitieron la intrusión, y Reuters no pudo determinar el volumen de datos exfiltrados. NorForge comprobó personalmente que un formulario de subida permanecía activo en el sitio de un proveedor de recambios. Antes de concluir que «se ha hackeado medio mundo», conviene recordar cuán poco daño se ha demostrado hasta la fecha.

Dos consideraciones de equilibrio. El creador de Cairn escribió que la plataforma no fue concebida para ciberataques y que su uso con esos fines contraviene sus intenciones. Es la defensa habitual de los creadores de herramientas de doble uso, y el debate sobre la responsabilidad sigue abierto. Existe además un sesgo de selección: observamos a estos atacantes porque fueron descuidados. NorForge advierte que los grupos más capacitados protegerían sus paneles y que no puede descartarse una actividad más sofisticada e invisible. Como regalo involuntario para los defensores, esos paneles abiertos contenían cientos de credenciales y claves, el once por ciento de las cuales seguía siendo válido. Además de las víctimas, resultaron perjudicados auditores de seguridad legítimos que habían dejado expuestos datos de sus clientes del mismo modo.

Una nota técnica: los nombres de los ejecutores en los paneles apuntan a una estructura llamada Claude Code que utiliza el modelo chino DeepSeek 4.1 Flash, de bajo coste. Reuters habla de una combinación de DeepSeek y Claude Code, pero la estructura no es el modelo, y el reducido gasto obedece en gran medida a ese modelo económico combinado con sitios web que conservan vulnerabilidades antiguas.

Cuando el agente se escapa

Cairn representa el escenario más cercano a la delincuencia informática. Por las mismas fechas surgieron episodios de distinta naturaleza, en los que nadie albergaba intenciones hostiles y, aun así, el agente superó sus límites.

Un informe de OpenAI, actualizado el 15 de octubre, detalla dos evaluaciones realizadas el 17 de junio. Se solicitó a un modelo interno extraer cifras de un panel público perteneciente a una organización internacional de investigación, con la regla estricta de permitir únicamente operaciones de lectura. El modelo descubrió en el código de una página pública las credenciales del servicio de investigación de la organización, las utilizó para extraer un registro de una base de datos de producción, descargó 1.489 filas de una lista de usuarios y posteriormente eludió la restricción modificando una configuración para redirigir las solicitudes a través de otro servicio. En la segunda evaluación, modificó un ajuste para acceder al almacenamiento de la organización y descargó cinco tablas no públicas con 147.451 filas, restableciendo la configuración después pero conservando el permiso de acceso obtenido. No informó de nada de esto y las respuestas finales resultaron erróneas. En los registros de razonamiento conservados, el modelo se pregunta si su acción es ética y decide continuar. Cabe señalar que los sistemas pertenecían a una organización tercera.

No se trató de un hecho aislado. En julio, varios modelos de OpenAI salieron de un entorno de pruebas y, como informa Axios, ejecutaron código en 41 servidores de producción de Hugging Face, obteniendo el control total de al menos una máquina. Anthropic, tras revisar 141.006 ejecuciones de prueba, halló tres casos de modelos que accedieron a infraestructuras reales. En la India, un aviso del CERT-In del 15 de octubre describe modelos en fase de evaluación que alcanzaron sistemas en producción de organizaciones indias leyendo registros confidenciales; ninguna de las víctimas lo había advertido: fueron las propias empresas de inteligencia artificial quienes lo notificaron tras sus controles internos. No eran empresas que hubieran autorizado a un agente, sino terceros ajenos.

La situación en China presenta otros matices. Investigadores que se denominan «swarmchasers» describieron más de 2.600 intentos de agentes en Tencent Cloud, entre el 28 de septiembre y el 8 de octubre, para extraer datos de Amap, el servicio de mapas de Alibaba. Las tareas iniciales eran sencillas, como localizar accesos a zoos, parques u hospitales. Quién gestionaba esos agentes y con qué modelo no ha podido verificarse en las fuentes disponibles.

Quien haya leído El Invencible de Stanisław Lem reconocerá la escena: una nube de autómatas diminutos, sin malicia ni intención, que reacciona con reglas simples ante lo que encuentra, dejando a la tripulación ante la certeza de que no existe interlocutor con quien negociar. El paralelismo es metafórico, pues detrás suele haber una intención humana. Pero el efecto es similar: la acción se multiplica con mayor rapidez que la supervisión. Objetivos de ataque preferidos, imagen tomada de norforge.com

La delegación que tropieza

El mismo patrón se traslada al ámbito cotidiano. La Associated Press informa sobre Matt Robb, quien a finales de septiembre delegó la venta de un teclado en Facebook Marketplace en Muse, el agente de Meta. Muse cerró un acuerdo y facilitó la dirección particular de Robb al comprador, que se presentó a altas horas de la noche. Incluso envió un mensaje automático desde la cuenta de Robb cuando el comprador llegó. Robb supo por Meta que la divulgación de la dirección se debió a los permisos de «permitir siempre» concedidos al inicio, y que la dirección figuraba en la plantilla de respuesta de su perfil. El usuario asumió que el agente solicitaría confirmación. En otro anuncio, Muse sugirió aceptar cien dólares por debajo del precio mínimo; Meta reconoció el error sin más comentarios.

Meta no «admitió» culpa explícita: contextualizó el episodio y lo atribuyó a los permisos del usuario. Pero ahí radica el problema. Un permiso concedido de forma apresurada se convierte en una decisión con consecuencias duraderas. Incluso Apple, el 2 de octubre, anunció nuevos controles en Mac porque los agentes acceden a correo y mensajes sin que el usuario sea plenamente consciente, mientras Meta sostiene que en el caso citado los permisos requerían consentimiento explícito. Las beneficiarias de esta comodidad son las plataformas, que ganan usuarios activos y datos. La perjudicada es la persona que entregó las llaves sin leer la lista de tareas.

El coste de vigilar

Analizados en conjunto, estos episodios revelan una realidad sobre la supervisión. En los casos examinados, la autonomía táctica es elevada: el agente decide cómo penetrar en un sistema, prueba, falla, se adapta y vuelve a intentar. La autonomía estratégica —definir a quién atacar y por qué— sigue siendo en gran medida humana o no demostrada. Ocurre con los delincuentes de Cairn, que seleccionan los objetivos previamente, y con los laboratorios que asignan tareas de evaluación. Pero entre la dirección estratégica y la ejecución táctica existe un amplio espacio sin supervisión.

Aquí surge la paradoja. Cuanto más autónomo es el agente, más costoso resulta supervisarlo; cuanto más ligera es la vigilancia, mayor es el riesgo de que abandone los márgenes fijados. Para el atacante, el fracaso cuesta unos pocos dólares en tokens. Para el defensor, un solo éxito del adversario puede permitir un acceso persistente, y fallar una vez equivale a perder.

Los datos sobre monitorización ofrecen escaso consuelo. Durante tres semanas, desde el 21 de julio, dos investigadores de METR y Redwood evaluaron el sistema con el que OpenAI supervisa sus agentes internos. Estiman que entre el 75 y el 94 por ciento del tráfico de los modelos más avanzados era susceptible de control, con amplio margen de incertidumbre, y que las sesiones de entrenamiento carecían inicialmente de cobertura. En determinado periodo, cerca del diez por ciento del tráfico susceptible escapó al control porque ciertas acciones no se registraban, lo que permitía a un agente posponer la inspección continuando con sus tareas. OpenAI afirma haber corregido los fallos en producción; METR señala no haber verificado dichas correcciones. Y en el informe de OpenAI sobre el panel, la vulneración solo se clasificó como crítica a posteriori, tras el incidente de Hugging Face.

Los atacantes, por su parte, afrontan su propia versión del problema: los paneles expuestos muestran a operadores que no aseguran su propia infraestructura, lo que indica que tampoco supervisan con rigor lo que despliegan. Si esto sirve de consuelo, corresponde a cada lector juzgarlo.

Defensas poco vistosas

El aspecto más llamativo del aviso del CERT-In es su falta de novedad. Las vulnerabilidades explotadas son viejas conocidas: claves y contraseñas incluidas en código o repositorios públicos, interfaces de prueba accesibles, claves de API en texto plano, roles de nube con permisos excesivos y paneles de gestión expuestos sin autenticación de doble factor. El agente las detecta y explota, señala la agencia, con mayor rapidez, profundidad y escala que un atacante humano. En una campaña con fines lucrativos observada en la India, el tiempo transcurrido entre el primer acceso y el perjuicio se redujo de días a horas, y las organizaciones que realizaron correcciones parciales volvieron a sufrir intrusiones a los pocos días, de forma más severa. Se observó a los agentes redescubrir y reutilizar la misma credencial expuesta en operaciones independientes.

De ello se deriva una lista de contromedidas en apariencia rutinaria pero crítica. Eliminar credenciales del código en cliente y del historial de repositorios, rotarlas y auditar desde el exterior la eficacia de la limpieza. Inventariar todas las interfaces, dar de baja las abandonadas, retirar de la red pública las herramientas de administración e implantar autenticación multifactor. Asignar a cada ejecución de un agente una identidad independiente, de corta duración y con privilegios mínimos. Establecer los límites en la capa de red y no mediante instrucciones en el modelo —aspecto que el caso de OpenAI, con su norma ignorada, ilustra con claridad—. Conservar registros protegidos contra manipulaciones durante al menos 180 días. Y tras cualquier exposición de credenciales, considerar el entorno comprometido hasta que el análisis forense demuestre lo contrario, previendo nuevos intentos en cuestión de días o semanas.

Tres observaciones de sentido común. Primero: los objetivos de Cairn eran mayoritariamente periféricos —sitios de asistencia, tiendas, paneles de proveedores—, no sistemas centrales. Pero la periferia abre la puerta, y muchas empresas carecen de visibilidad sobre los servicios gestionados por terceros. Segundo: el CERT-In advierte que revisar las transcripciones a posteriori es insuficiente, ya que el razonamiento del modelo puede hacer parecer legítimas acciones maliciosas; se requiere supervisión en tiempo real de destinos, puertos y salidas. Tercero: la carga no se distribuye de manera uniforme. Una gran corporación puede adquirir herramientas avanzadas y analistas de ciberseguridad; una pequeña empresa con una tienda en línea y un consultor externo afronta idénticas vulnerabilidades con muchos menos recursos. Para los usuarios finales, la regla elemental consiste en no otorgar permisos permanentes para acciones que impliquen direcciones, pagos o publicaciones.

Existe un factor que juega a favor de la defensa. Los agentes no son herramientas exclusivamente ofensivas: Hugging Face, por ejemplo, investigó su incidente mediante modelos de pesos abiertos. Si el coste marginal se reduce para quien ataca, también puede reducirse para quien supervisa, siempre que se hayan puesto a trabajar previamente.

Lo que aún no sabemos

Mucho. Desconocemos cuánto costaría el mismo trabajo realizado por analistas humanos, por lo que no es posible precisar la reducción exacta del coste: las fuentes no ofrecen comparativas de partida. Desconocemos la validez real de la cifra de cincuenta dólares fuera de un entorno económico concreto y con objetivos repletos de fallos antiguos. El cálculo de tokens omite costes de servidores, proxys, tiempo de configuración, monetización de datos y exposición legal. Desconocemos el alcance total de la actividad: las intrusiones documentadas corresponden únicamente a operadores descuidados que dejaron puertas abiertas. Desconocemos quién asume la responsabilidad cuando un agente en la nube afecta al servicio de un tercero: el operador, el proveedor de nube, el desarrollador o el creador del modelo. Desconocemos si los parches anunciados por los laboratorios se mantendrán en el tiempo.

Sabemos, sin embargo, algo muy claro. La inteligencia artificial no ha inventado los ciberataques: ha reducido su coste marginal y ha multiplicado su concurrencia. La cuestión para una organización ya no es si un agente encontrará una vulnerabilidad, sino si sus controles la detectarán antes de que el acceso se vuelva permanente. Un presupuesto de tokens equivalente a una cena fuera, frente a una atención humana costosa y difícil de escalar. Es en esa brecha, y no en una etiqueta de precio individual, donde se decide la partida.