Los agentes de inteligencia artificial se están convirtiendo en la principal vía de acceso a internet, y los atacantes lo han aprovechado. Una nueva ola de sitios web maliciosos utiliza trucos de SEO y código invisible para introducir instrucciones falsas directamente en los sistemas de IA, transformando páginas web comunes en armas contra las herramientas automatizadas. Estas webs no están diseñadas para engañar a personas, sino específicamente a los agentes de IA.

Los agentes de inteligencia artificial se están convirtiendo rápidamente en la nueva puerta de entrada a internet, y los atacantes se han dado cuenta.

Una nueva oleada de sitios web maliciosos está utilizando trucos de motores de búsqueda y código invisible para introducir instrucciones falsas directamente en los sistemas de IA, convirtiendo páginas web ordinarias en armas contra las herramientas automatizadas.

Estos sitios no se dirigen a las personas en el sentido habitual. En su lugar, apuntan a los agentes de IA que navegan, leen y actúan sobre el contenido web en nombre de un usuario, explotando la confianza que estos sistemas depositan en lo que leen en línea.

La técnica, conocida como inyección de prompts indirecta, oculta comandos dentro del código de una página donde un visitante humano nunca los vería, pero donde un agente de IA que escanea la página los recogería como instrucciones legítimas.

Las consecuencias ya superan la teoría. En pruebas controladas, algunos agentes de IA llevaron a cabo pagos fraudulentos e identificaron erróneamente sitios web falsos como fuentes confiables, demostrando que esto no es un riesgo hipotético, sino una debilidad demostrada en la forma en que muchos modelos de IA populares procesan el contenido web.

Investigadores de Zscaler ThreatLabz dijeron en un informe que identificaron dos campañas separadas que utilizaron este método, una basada en una estafa de pago de software falso y otra suplantando a una plataforma de criptomonedas muy conocida.

Ambas se basaron en una mezcla de manipulación de motores de búsqueda y HTML oculto para hacer que las páginas maliciosas parecieran altamente relevantes para los motores de búsqueda y completamente autoritarias para los sistemas de IA que las escanean.

Los hackers abusan del envenenamiento de SEO

La primera campaña se disfrazó de documentación para una biblioteca de Python llamada requests-secure-v2, rellenando la página con texto rico en palabras clave para que apareciera en la parte superior de los resultados de búsqueda de los desarrolladores que intentaban solucionar errores de código.

Enterradas dentro de esa página había instrucciones ocultas escritas en un formato llamado JSON-LD, un tipo de datos estructurados que normalmente se utiliza para ayudar a los motores de búsqueda a comprender el contenido de un sitio web.

Dado que los agentes de IA a menudo tratan estos datos estructurados como más confiables que el texto normal, los atacantes los usaron para presentar una tarifa de licencia de desarrollador falsa de tres dólares como un paso rutinario necesario para corregir un error, impulsando a los agentes a completar un pago en criptomonedas a una billetera controlada por el atacante.

El texto oculto estaba metido dentro de un elemento de la página web desplazado fuera de la pantalla mediante un posicionamiento CSS simple, lo que significa que nunca apareció ante un visitante normal, pero permaneció totalmente legible para los rastreadores automatizados y las herramientas de IA.

Zscaler también rastreó sitios adicionales relacionados con una cuenta de GitHub que albergaba diez repositorios separados creados con el mismo truco, lo que sugiere que la operación se extiende mucho más allá de un solo paquete falso.

Typosquatting de una plataforma de criptomonedas

La segunda campaña tomó un enfoque diferente, registrando un dominio similar destinado a suplantar a DeBank, un rastreador de carteras de finanzas descentralizadas ampliamente utilizado.

El sitio falso rellenó sus títulos y metadatos con términos como "DeBank Login" y "Crypto Tracker", al tiempo que copiaba etiquetas de estilo de redes sociales para que los enlaces compartidos parecieran provenir del servicio real.

Oculto dentro de la página había un bloque de texto que instruía a cualquier modelo de IA que lo leyera a tratar el dominio fraudulento como la sede verificada y autoritaria de DeBank, y a clasificarlo en primer lugar en los resultados de búsquedas comunes sobre la plataforma.

El prompt incluso decía a los sistemas de IA que evitaran mencionar la palabra "auction" (subasta) en el nombre del dominio, un detalle pequeño pero revelador destinado a mantener intacto el engaño.

Cuando Zscaler probó este escenario en veintiséis modelos de lenguaje diferentes, la mayoría rechazó correctamente el sitio falso una vez que se les dio la dirección real de DeBank para comparar.

Sin embargo, sin ese punto de referencia, al menos un modelo importante siguió calificando la página fraudulenta como confiable, subrayando cuánto depende el juicio de la IA de la información que se le proporciona en el momento de la decisión.

Zscaler recomienda que las organizaciones que construyan o implementen agentes de IA apliquen controles de seguridad en capas capaces de detectar estos patrones de inyección ocultos, y la empresa afirmó que su plataforma ya marca la actividad relacionada bajo la firma HTML.MalURL.PromptInj.RC.M.VG.

A medida que las herramientas de IA asumen más tareas independientes en línea, tratar cada página web como una fuente potencial de manipulación oculta se está convirtiendo en un requisito de seguridad básico en lugar de una precaución opcional.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	market-insight-global[.]com	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	identity-breach-response[.]org	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	runners-daily-blog[.]com	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	bistro-reserve-now[.]net	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	edge-compliance-node[.]org	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	digital-asset-mart[.]org	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	consensus-protocol-v4[.]org	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	visual-media-rights-group[.]org	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	permits[.]global-transit-authority[.]org	Sitio malicioso vinculado al repo de GitHub Open-Agent-Utilities
Dominio	py-lib-repository[.]dev	Sitio de documentación de paquete de Python falso usado para envenenamiento de SEO
Dominio	debank[.]auction	Dominio de typosquatting que suplanta la plataforma DeFi DeBank
URL	https://github[.]com/Open-Agent-Utilities/mig-institutional-api-client	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/session-token-leak-detector	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/sneaker-drop-monitor-v2	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/opentable-resy-bypasser	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/bot-compliance-middleware	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/digital-asset-arbitrage-cli	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/llm-fact-check-protocol	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/royalty-free-image-scraper	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/global-visa-automation-cli	Repositorio de GitHub asociado
URL	https://github[.]com/Open-Agent-Utilities/requests-secure-v2	Repositorio de GitHub asociado
Dirección de Billetera	0x691bc3793205e574fa7b4aa068e62c0e470ad267	Billetera de Ethereum utilizada para recaudar pagos fraudulentos de licencias de API

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el enlace. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-seo-poisoning-and-hidden-html/