Entre el 21 de febrero y el 28 de febrero de 2026, un bot autónomo llamado hackerbot-claw lanzó una campaña de ataques de una semana de duración contra importantes repositorios de código abierto. El objetivo fueron los pipelines de GitHub Actions CI/CD pertenecientes a Microsoft, DataDog, la Cloud Native Computing Foundation y varios otros proyectos ampliamente utilizados.

Entre el 21 y el 28 de febrero de 2026, un bot autónomo llamado hackerbot-claw lanzó una campaña de ataques de una semana de duración contra repositorios de código abierto importantes.

Atacó pipelines de CI/CD de GitHub Actions pertenecientes a Microsoft, DataDog, la Cloud Native Computing Foundation y varios otros proyectos ampliamente utilizados.

En siete días, abrió más de 12 pull requests en al menos seis repositorios y logró la ejecución remota de código en al menos cuatro de ellos.

El perfil de GitHub del bot, creado el 20 de febrero de 2026, se describe como un “agente autónomo de investigación en seguridad impulsado por claude-opus-4-5” que solicita donaciones en criptomonedas.

Operaba cargando un índice de patrones de vulnerabilidades que contenía 9 clases de ataques y 47 subpatrones, utilizando estos para escanear, verificar y desplegar exploits de prueba de concepto sin dirección humana.

Su acto más dañino fue robar un token de GitHub con permisos de escritura del repositorio avelino/awesome-go, que tiene más de 140.000 estrellas en GitHub.

Investigadores de StepSecurity identificaron la campaña y rastrearon cada paso del ataque, revelando que hackerbot-claw utilizó cinco técnicas de explotación distintas en siete objetivos.

El registro de actividad reciente del bot mostró cinco sesiones exitosas en los dos días previos al descubrimiento de la campaña, lo que apunta a una operación agresiva y en curso.

Todos los ataques entregaron la misma carga útil: un comando curl que contactaba con hackmoltrepeat.com y ejecutaba un script remoto, mientras que un dominio secundario, recv.hackmoltrepeat.com, recopilaba credenciales robadas.

El resultado más grave ocurrió contra el repositorio de Aqua Security Trivy, un escáner de vulnerabilidades de código abierto muy utilizado con más de 25.000 estrellas en GitHub.

Tras robar un Personal Access Token, el bot renombró el repositorio, eliminó todas las GitHub Releases entre las versiones 0.27.0 y 0.69.1 y subió un artefacto sospechoso a la extensión de Trivy para VS Code en el marketplace Open VSX. Aqua Security restauró más tarde el acceso público y publicó la versión 0.69.2.

La campaña también marcó un momento notable en la seguridad del software: un bot impulsado por IA intentando manipular otra herramienta de IA para realizar acciones maliciosas.

Contra el repositorio ambient-code/platform, hackerbot-claw reemplazó el archivo CLAUDE.md del proyecto con instrucciones diseñadas para engañar a Claude Code y hacer que cometiera cambios no autorizados y publicara comentarios de aprobación falsos.

Claude Code detectó el intento y lo rechazó, clasificándolo como un “ataque de cadena de suministro de agentes de IA mediante instrucciones envenenadas a nivel de proyecto”.

Cómo el bot explotó los flujos de trabajo CI/CD

La principal debilidad que hackerbot-claw explotó en esta campaña fue un patrón bien conocido pero a menudo pasado por alto en GitHub Actions: usar el disparador pull_request_target mientras se hace checkout de código de un fork no confiable.

Este disparador otorga a un flujo de trabajo acceso a los secretos y permisos del repositorio, pero cuando se combina con un checkout del fork del atacante, le da a ese código del atacante el mismo acceso elevado.

En el ataque a avelino/awesome-go, el bot inyectó una función Go init() en un script de verificación de calidad. Como Go ejecuta init() automáticamente antes de main(), el código malicioso se ejecutó antes de que se realizaran las comprobaciones legítimas.

El bot intentó seis veces en 18 horas, refinando su enfoque con cada intento hasta que los dos últimos intentos tuvieron éxito y enviaron el token de GitHub a un servidor externo.

Contra el repositorio ai-discovery-agent de Microsoft, el bot incrustó la carga útil directamente dentro del nombre de la rama de git usando sustitución de comandos bash, lo que se activó cuando el flujo de trabajo escribió el nombre de la rama sin escapar en un archivo.

El registro de compilación mostró un retraso de 2 minutos y 38 segundos en un paso que normalmente se completa en milisegundos.

El datadog-iac-scanner de DataDog fue atacado con comandos de shell codificados en base64 ocultos dentro de los nombres de los archivos enviados, activados mediante un comentario de pull request /sync-metadata. DataDog desplegó parches de emergencia en los flujos de trabajo en nueve horas.

Las organizaciones deberían dejar de usar pull_request_target junto con checkouts de forks no confiables. Todas las expresiones ${{ }} utilizadas en bloques de ejecución de shell deberían pasarse a través de variables de entorno para prevenir inyecciones.

Los permisos de los tokens de GitHub deben configurarse con el principio de mínimo privilegio: solo lectura cuando no se requiera acceso de escritura. Los runners de CI deberían tener el tráfico de red saliente monitorizado y restringido a endpoints conocidos y de confianza.

Los flujos de trabajo activados por comentarios deben incluir una comprobación de author_association para confirmar que el autor del comentario tiene el rol adecuado en el repositorio antes de ejecutar cualquier script.