Un ciberataque casi autónomo que utiliza marcos de agentes de IA de código abierto comprometió sistemas gubernamentales en Asia, descifró 85 cuentas de empleados y robó más de 2.500 registros de personal, según una investigación de Dream.

La campaña demuestra cómo los agentes de IA coordinados pueden ahora ejecutar gran parte de una operación de intrusión a velocidad de máquina. Los investigadores de Dream descubrieron un archivo de 160 MB que contenía 1.395 archivos vinculados a la operación. El material documentaba 12 olas de ataque realizadas entre el 1 y el 4 de julio de 2026.

El marco utilizado empleó Hermes y OpenClaw, desplegando hasta 8 subagentes en paralelo para realizar reconocimiento, ataques de credenciales, pruebas de API, recopilación de datos y movimiento lateral. Los investigadores no identificaron a las entidades afectadas ni al operador.

Sin embargo, Dream señaló que la documentación operativa utilizaba chino simplificado en los informes internos y chino tradicional en el análisis de los objetivos, lo que sugiere que el operador habla chino. Informes públicos identificaron a Taiwán como el objetivo, aunque el informe de Dream describió a las víctimas únicamente como entidades gubernamentales en Asia.

Agentes de IA vulneran sistemas gubernamentales

El marco impulsado por IA comenzó descargando y analizando paquetes de JavaScript de un portal gubernamental. Extrajo endpoints de API, ID de clientes OAuth, datos de configuración de Keycloak y detalles de autenticación.

Esto permitió a los agentes mapear 21 sistemas gubernamentales conectados, incluida la infraestructura de inicio de sesión único (SSO). Según se informa, un objetivo expuso más de 36 endpoints de API para la gestión de cuentas, datos de usuario, cargas de archivos y administración.

Algunos endpoints no requerían autenticación, lo que permitía al sistema recuperar información de los empleados, incluyendo nombres, departamentos e identificadores de cuentas SSO. Los agentes también recolectaron documentación de integración de SSO y ejemplos de SDK disponibles públicamente.

Aunque el marco señaló varias debilidades potenciales en el lado del cliente, los compromisos confirmados fueron causados principalmente por problemas en el lado del servidor, incluyendo APIs no autenticadas, endpoints de autenticación inseguros y una validación de tokens débil.

La campaña utilizó varias rutas de ataque simultáneamente. Los investigadores encontraron evidencia de que los agentes descubrieron endpoints de API ocultos en una aplicación web gubernamental que devolvían sesiones autenticadas válidas sin requerir credenciales.

El marco también llevó a cabo un "password spraying" automatizado contra un portal de automatización de oficinas. Utilizó nombres de usuario de empleados recolectados de APIs expuestas y resolvió imágenes CAPTCHA mediante OCR. Al probar patrones de contraseñas predecibles, los agentes descifraron 85 cuentas a lo largo de varias rondas.

Otro fallo implicó el procesamiento de JWT. Según se informa, una API gubernamental aceptaba tokens con el algoritmo "none", lo que permitía a los atacantes falsificar tokens de autenticación sin acceso a una clave de firma. Las cuentas comprometidas fueron luego probadas contra servicios internos conectados.

De las 85 cuentas descifradas, 84 se autenticaron con éxito en un sistema de información interno a través de un puente SSO, una tasa de éxito del 98,8 por ciento. Esto dio a los atacantes acceso a paneles internos, herramientas de gestión de equipos y páginas de estadísticas de personal.

El marco también intentó cargar una web shell a través de un endpoint de carga de archivos sin restricciones. Una capa secundaria de autenticación de formularios evitó la ejecución, demostrando que no todos los pasos del ataque automatizado tuvieron éxito.

Dream afirmó que los atacantes extrajeron al menos 2.564 registros de personal, incluyendo 1.409 entradas de empleados, 916 registros de usuarios de una API expuesta y 239 registros de profesionales legales de un endpoint del Ministerio de Justicia.

El archivo también incluía rangos de red interna, 7 secretos de clientes SSO y 6 credenciales de bases de datos. Lo que hace notable a esta campaña es su uso de bucles de retroalimentación.

Los agentes crearon informes estructurados después de cada ola, clasificaron las rutas de ataque utilizando una puntuación de probabilidad bayesiana y ejecutaron "Ciclos de Aprendizaje" para buscar fuentes de vulnerabilidades públicas cuando las técnicas anteriores fallaban. El marco también detectó y descartó falsos positivos, incluyendo una sospecha de inyección SQL que más tarde se atribuyó a un tiempo de espera de SMTP.

El incidente muestra que los agentes de IA son cada vez más capaces de coordinar el reconocimiento, la explotación, los ataques de credenciales y el robo de datos en paralelo. Como defensor, debes priorizar las APIs expuestas, las relaciones de confianza de SSO débiles, la validación de JWT, los controles de "credential-spraying" y los endpoints de depuración orientados al público.