Investigadores de seguridad han identificado más de 91,000 sesiones de ataque dirigidas a infraestructuras de IA entre octubre de 2025 y enero de 2026, exponiendo campañas sistemáticas contra implementaciones de modelos de lenguaje grandes. La infraestructura de honeypot Ollama de GreyNoise capturó 91,403 sesiones de ataque durante este período, revelando dos campañas de amenazas distintas. Los hallazgos corroboran y amplían investigaciones previas de Defused sobre el ataque a sistemas de IA.

Investigadores de seguridad han identificado más de 91.000 sesiones de ataque dirigidas a la infraestructura de IA entre octubre de 2025 y enero de 2026, exponiendo campañas sistemáticas contra implementaciones de modelos de lenguaje grandes.

La infraestructura de honeypot Ollama de GreyNoise capturó 91.403 sesiones de ataque durante este período, revelando dos campañas de amenazas distintas. Los hallazgos corroboran y amplían investigaciones previas de Defused sobre el enfoque en sistemas de IA.

La primera campaña explotó vulnerabilidades de falsificación de solicitudes del lado del servidor (SSRF) para forzar a los servidores a realizar conexiones salientes hacia infraestructuras controladas por los atacantes.

Los atacantes apuntaron a la funcionalidad de extracción de modelos de Ollama inyectando URLs de registros maliciosos y manipulando los parámetros MediaUrl de los webhooks SMS de Twilio.

La campaña se desarrolló desde octubre de 2025 hasta enero de 2026, con un dramático aumento durante Navidad, registrando 1.688 sesiones en solo 48 horas.

Los atacantes utilizaron la infraestructura OAST de ProjectDiscovery para confirmar la explotación exitosa mediante validación de callback.

El fingerprinting reveló una única firma JA4H que apareció en el 99% de los ataques, lo que indica el uso de herramientas de automatización compartidas, probablemente basadas en Nuclei.

Aunque se observaron 62 direcciones IP de origen distribuidas en 27 países, las huellas consistentes sugieren infraestructura basada en VPS en lugar de una botnet.

GreyNoise evalúa esto como operaciones probables de cazadores de recompensas por errores (grey-hat), aunque la escala y el momento plantean preocupaciones éticas.

Campaña de enumeración: Construyendo listas de objetivos

A partir del 28 de diciembre de 2025, dos IPs lanzaron sondeos metódicos de más de 73 endpoints de modelos de LLM, generando 80.469 sesiones en once días.

Esta reconocimiento sistemático buscaba servidores proxy mal configurados que pudieran exponer el acceso a APIs comerciales.

Los ataques probaron formatos compatibles con OpenAI y Google Gemini en todas las principales familias de modelos: OpenAI GPT-4o, Anthropic Claude, Meta Llama 3.x, DeepSeek-R1, Google Gemini, Mistral, Alibaba Qwen y xAI Grok.

Las consultas de prueba se mantuvieron deliberadamente inocuas, con "hi" apareciendo 32.716 veces y "¿Cuántos estados hay en Estados Unidos?" 27.778 veces, probablemente con el objetivo de identificar modelos sin activar alertas de seguridad.

La infraestructura apunta a actores de amenazas profesionales: 45.88.186.70 (AS210558, 1337 Services GmbH): 49.955 sesiones 204.76.203.125 (AS51396, Pfcloud UG): 30.514 sesiones

Ambas IPs tienen un extenso historial de explotación de CVE, con más de 4 millones de impactos combinados en más de 200 vulnerabilidades, incluyendo CVE-2025-55182 y CVE-2023-1389.

Bloquea estos indicadores de red:

Permite que Ollama realice conexiones salientes solo a direcciones aprobadas. Bloquea todo el tráfico saliente restante para que los atacantes no puedan usarlo para callbacks SSRF.

Ochenta mil solicitudes de enumeración representan una inversión significativa. Los actores de amenazas no mapean infraestructura a esta escala sin planes de explotarla.

Si estás ejecutando endpoints de LLM expuestos, es probable que ya estés en la lista de objetivos de alguien.