Han encontrado una nueva forma de lograr que las herramientas de IA hagan su trabajo sucio sin pagar por ello. En lugar de utilizar sus propios recursos, los atacantes están secuestrando servidores de modelos de IA expuestos y conectándolos a canalizaciones de hacking automatizadas.

El resultado es una herramienta de ataque autodirigida que puede escanear objetivos, encontrar debilidades, escribir exploits e intentar una intrusión totalmente por su cuenta.

Esta amenaza se basa en un patrón identificado por primera vez en 2024, cuando los atacantes empezaron a robar credenciales de la nube para abusar de servicios de IA de pago, un método que los investigadores denominaron LLMjacking.

Se estimó que el daño financiero en el peor de los casos fue de hasta 46.000 dólares al día en cargos de computación robados. Para 2025, el ecosistema criminal había crecido hasta convertirse en un mercado negro con redes de proxy inverso que traficaban miles de millones de tokens robados en todo el mundo.

Investigadores de Sysdig dijeron en un informe que el 12 de junio de 2026, su equipo de investigación de amenazas detectó a un atacante utilizando un servidor de modelo Ollama mal configurado como el "cerebro" de una herramienta ofensiva de múltiples etapas.

A diferencia de los casos anteriores de LLMjacking, el actor no estaba revendiendo el acceso ni chateando con el modelo. Lo habían conectado a una canalización de software diseñada para automatizar todo el proceso de hacking de principio a fin.

La escala del problema de exposición es alarmante. Los investigadores han catalogado aproximadamente 175.000 instancias de Ollama accesibles públicamente en más de 130 países.

Ollama escucha en el puerto 11434 sin autenticación por defecto, por lo que cualquier servidor orientado a internet se convierte en computación de IA gratuita para quien lo encuentre.

Dado que la herramienta del atacante enviaba instrucciones completas al modelo con cada solicitud, el equipo de Sysdig capturó el funcionamiento interno completo del marco de trabajo.

Esto permitió a los investigadores obtener una rara visión anticipada de cómo los actores de amenazas están fusionando infraestructura de IA robada con hacking autónomo en una sola operación.

Dos tendencias que se desarrollaban por separado, el robo de computación y las herramientas ofensivas impulsadas por IA, han convergido en un ataque capturado.

Los Hackers Abusan de Herramientas RMM Legítimas

La herramienta del atacante, que los investigadores llaman VAPT basándose en marcadores de código integrados, dirige el modelo de IA a través de una secuencia de pasos estrictamente definida.

Cada paso tiene una tarea específica, y el modelo debe devolver una salida estructurada que el software circundante pueda consumir automáticamente. Esto mantiene la canalización rápida y fiable sin intervención humana en cada etapa.

Las etapas observadas incluyeron la identificación de servicios en un objetivo, la vinculación de estos con vulnerabilidades conocidas, la creación de exploits de prueba de concepto, la elaboración de cargas útiles de inyección SQL ciega para eludir los filtros de entrada y la extracción de credenciales de archivos saqueados.

Una etapa de escalada de privilegios también profundiza en el sistema una vez que se obtiene el acceso inicial. Solo la extracción de credenciales se ejecutó más de cien veces a lo largo de la campaña.

Lo que hace que este marco sea especialmente capaz es su orquestador autónomo, un controlador que dirige toda la cadena hasta que se logra la ejecución de comandos en el objetivo.

Para confirmar un compromiso exitoso, la herramienta ejecuta un comando específico y busca marcadores de código únicos que encierran la salida. Una vez que estos aparecen, el exploit confirmado se congela en una plantilla reutilizable para repetirlo con cualquier comando posterior.

A lo largo de la campaña, la herramienta solicitó al menos siete modelos de IA, incluyendo nombres comerciales como GPT-4o-mini, Claude-3-5-Sonnet y Gemini-2.0-Flash-Exp, junto con versiones locales de código abierto.

Su presencia demuestra que la herramienta fue construida originalmente para APIs de pago y simplemente se redirigió al servidor de Ollama robado como un sustituto gratuito.

Objetivos, Desarrollo y Defensa

Cada objetivo durante la captura estaba en una red privada no enrutable. El actor realizó pruebas contra aplicaciones ficticias llamadas “MediaVault Asset Portal” y “Reverb Studio”, y más tarde contra un rango vinculado a entornos de laboratorio de HackTheBox.

No se atacaron hosts públicos reales, lo que sugiere que la herramienta aún se está perfeccionando antes de su despliegue contra víctimas reales.

Tus equipos de seguridad nunca deben exponer Ollama o servidores de modelos similares a la internet pública, y se debe añadir autenticación en la capa de proxy o de red, ya que no viene integrada.

Tus equipos deben monitorizar los puntos finales de inferencia en busca de volúmenes de solicitudes inusuales y auditar los activos orientados a internet para detectar servidores de modelos abiertos.

Cualquier punto final de inferencia de IA expuesto debe tratarse con la misma urgencia que una base de datos expuesta o un panel de administración.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.