A principios de febrero de 2026, surgió una importante amenaza cibernética que involucraba el uso sofisticado de Modelos de Lenguaje Grande (LLMs) en campañas de intrusión activas. Un servidor mal configurado expuso una detallada tubería de software donde los actores de amenazas integraron DeepSeek y Claude en sus flujos de trabajo de ataque. 

A principios de febrero de 2026, surgió una amenaza significativa en ciberseguridad que involucraba el uso sofisticado de Modelos de Lenguaje Grande (LLMs) en campañas de intrusión activas.

Un servidor mal configurado expuso una detallada pipeline de software donde actores de amenazas integraron DeepSeek y Claude en sus flujos de ataque. Este descubrimiento resalta una evolución peligrosa en el cibercrimen moderno, donde las herramientas de IA no solo generan texto, sino que están integradas en la cadena de ataque para automatizar tareas ofensivas complejas contra objetivos globales.

La infraestructura de ataque se centró específicamente en dispositivos FortiGate SSL VPN, utilizando datos de configuración robados para vulnerar redes de manera efectiva. Al aprovechar estas credenciales comprometidas, los operadores lograron mapear infraestructuras internas e identificar activos críticos.

La operación utilizó herramientas personalizadas para orquestar estos ataques, permitiendo el procesamiento simultáneo de miles de objetivos sin necesidad de intervención manual en cada paso del proceso de intrusión.

La evidencia indica que más de 2.500 dispositivos en 106 países fueron procesados en lotes paralelos.

Analistas de Cyber and Ramen identificaron que los actores de amenazas utilizaron un enfoque de doble modelo, empleando DeepSeek para generar planes estratégicos de ataque basados en datos de reconocimiento, mientras que las capacidades de codificación de Claude se usaron para ejecutar evaluaciones de vulnerabilidades.

Este nivel de automatización permitió que incluso operadores con bajas habilidades gestionaran un volumen masivo de intrusiones de manera eficiente.

Flujo de Explotación Automatizado

El núcleo de esta operación depende de dos componentes personalizados llamados ARXON y CHECKER2. CHECKER2 funciona como un orquestador basado en Docker que gestiona el escaneo paralelo de VPN, mientras que ARXON actúa como un servidor de Protocolo de Contexto de Modelo (MCP). Este puente permite a los atacantes alimentar datos específicos de la red en los LLMs, que luego generan pasos explotables. Por ejemplo, el diagrama de la cadena de intrusión ilustra cómo el sistema avanza desde el acceso inicial hasta la explotación activa.

Una vez dentro de una red, el sistema utiliza Claude para ejecutar herramientas ofensivas como Impacket y Metasploit de forma autónoma. El fragmento redactado del informe de evaluación de vulnerabilidades encontrado en el servidor muestra cómo el modelo documenta sus hallazgos y sugiere pasos siguientes priorizados, como la escalada de privilegios.

Los registros expuestos confirman que este sistema automatizado está atacando activamente a diversos sectores, incluyendo telecomunicaciones.

Para mitigar estas amenazas impulsadas por IA, las organizaciones deben priorizar la aplicación inmediata de parches en dispositivos perimetrales, ya que la velocidad de los ataques automatizados deja poco margen para retrasos. Los equipos de seguridad deben auditar regularmente las cuentas de usuario de VPN en busca de creaciones no autorizadas y monitorear sesiones SSH inesperadas. Además, verificar las configuraciones de red frente a líneas base conocidas puede ayudar a detectar las modificaciones sutiles típicas de esta campaña.