Los actores de amenazas que aprovechan herramientas de inteligencia artificial han reducido el ciclo de ataque en la nube de horas a solo minutos, según nuevos hallazgos del Sysdig Threat Research Team (TRT).

En un incidente ocurrido en noviembre de 2025, los adversarios escalaron desde el robo inicial de credenciales hasta obtener privilegios administrativos completos en menos de 10 minutos, utilizando modelos de lenguaje grandes (LLMs) para automatizar el reconocimiento, generar código malicioso y tomar decisiones de ataque en tiempo real.

La operación tuvo como objetivo un entorno de Amazon Web Services (AWS), demostrando cómo la asistencia de la IA ha transformado fundamentalmente la velocidad y sofisticación de los ataques basados en la nube.

La intrusión comenzó cuando los atacantes descubrieron credenciales válidas de AWS almacenadas en buckets de Simple Storage Service (S3) accesibles públicamente que contenían datos de Retrieval-Augmented Generation (RAG) para modelos de IA.

Las credenciales comprometidas pertenecían a un usuario de Identity and Access Management (IAM) con permisos de lectura y escritura en AWS Lambda y acceso restringido a Amazon Bedrock.

Con el usuario IAM comprometido poseyendo la política ReadOnlyAccess, los atacantes realizaron un reconocimiento exhaustivo en múltiples servicios de AWS, incluyendo Secrets Manager, Systems Manager, EC2, ECS, RDS y CloudWatch.

Luego, los actores de amenazas explotaron los permisos UpdateFunctionCode y UpdateFunctionConfiguration en Lambda para inyectar código malicioso en una función existente llamada EC2-init. Tras tres intentos iterativos, lograron comprometer una cuenta de administrador llamada “frick” creando nuevas claves de acceso.

Múltiples indicadores a lo largo de la operación sugieren que el actor de la amenaza utilizó modelos de lenguaje grandes para la generación de código. El script de Lambda incluía manejo integral de excepciones, una modificación de tiempo de espera a 30 segundos y comentarios en serbio (“Kreiraj admin access key”, que significa “Crear clave de acceso de administrador”), lo que sugiere el origen del atacante.

Los investigadores identificaron varias alucinaciones de IA, incluyendo intentos de asumir roles en IDs de cuentas de AWS fabricadas con patrones secuenciales (123456789012 y 210987654321), referencias a un repositorio de GitHub inexistente, y nombres de sesión como “claude-session”, reflejando una metodología asistida por IA.

Los atacantes demostraron una sofisticada persistencia distribuyendo operaciones en 19 entidades distintas de AWS, incluyendo seis roles diferentes de IAM en 14 sesiones y cinco usuarios IAM comprometidos. Crearon un usuario backdoor llamado “backdoor-admin” con la política AdministratorAccess adjunta.

Tras confirmar que el registro de invocación de modelos estaba deshabilitado, los atacantes pivotaron hacia operaciones de LLMjacking dirigidas a Amazon Bedrock. Invocaron múltiples modelos base, incluyendo Claude Sonnet 4, Claude Opus 4, Claude 3.5 Sonnet, DeepSeek R1, Llama 4 Scout, Amazon Nova Premier y Amazon Titan Image Generator.

Los investigadores descubrieron un módulo de Terraform diseñado para implementar una función Lambda backdoor que generaría credenciales de Bedrock y las expondría a través de una URL de Lambda accesible públicamente sin necesidad de autenticación.

Los atacantes cambiaron su enfoque a los recursos de cómputo de EC2, consultando más de 1,300 Amazon Machine Images para aplicaciones de aprendizaje profundo. Provisionaron con éxito una instancia p4d.24xlarge con un costo de $32.77 por hora (aproximadamente $23,600 mensuales), con scripts de datos de usuario para instalar CUDA, PyTorch y un servidor JupyterLab accesible públicamente en el puerto 8888, proporcionando acceso backdoor independiente de las credenciales de AWS.

Los actores de amenazas emplearon múltiples tácticas de evasión de defensas, incluyendo una herramienta de rotación de IP para cambiar las direcciones de origen en cada solicitud, eludiendo medidas de seguridad que correlacionan operaciones desde la misma IP.

Las organizaciones deberían implementar el principio de mínimo privilegio para todos los usuarios y roles de IAM, restringir los permisos UpdateFunctionConfiguration y PassRole, habilitar la versión de funciones Lambda para registros de código inmutables, asegurarse de que los buckets de S3 con datos sensibles no sean accesibles públicamente, habilitar el registro de invocación de modelos para Amazon Bedrock y monitorear la actividad de enumeración de IAM Access Analyzer.

A medida que los LLMs se vuelven cada vez más sofisticados, es probable que ataques de esta naturaleza se vuelvan más comunes, lo que requiere que las organizaciones prioricen las capacidades de detección en tiempo de ejecución y la aplicación del principio de mínimo privilegio para defenderse de este panorama de amenazas en aceleración.

Indicadores de Compromiso