Un grupo utilizó CyberStrikeAI, una plataforma de pruebas de penetración de código abierto, para coordinar 44 agentes de IA. Estos agentes automatizaron procesos de escaneo de redes, explotación, persistencia y robo de datos, centrándose principalmente en organizaciones japonesas. Este incidente demuestra cómo las herramientas de seguridad pueden ser convertidas en flujos de trabajo de intrusión repetibles sin necesidad de crear nuevas vulnerabilidades.

La actividad se centró principalmente en organizaciones japonesas, demostrando cómo los atacantes pueden convertir herramientas de seguridad en flujos de trabajo de intrusión repetibles sin necesidad de desarrollar nuevas vulnerabilidades ni dirigir manualmente cada tarea.

Durante un breve periodo en octubre de 2026, la plataforma comprobó debilidades en al menos 19 organizaciones, incluyendo 16 en Japón.

Informes anteriores sobre los ataques de CyberStrikeAI contra dispositivos FortiGate documentaron un abuso independiente de la misma herramienta, aunque el hecho de compartir software no establece una conexión entre los operadores detrás de estas campañas.

Los investigadores de TrendAI, Bakuei Matsukawa y Joseph C Chen, identificaron la actividad maliciosa mientras examinaban archivos accesibles públicamente en servidores controlados por los atacantes.

Su informe de investigación del 27 de octubre distingue el flujo de trabajo autónomo de CyberStrikeAI de otras dos operaciones que utilizan IA para la planificación o la creación de scripts. La plataforma es una herramienta de prueba legítima, no una familia de malware recién descubierta.

Agentes de CyberStrikeAI

El entorno expuesto de CyberStrikeAI conectaba el reconocimiento, el descubrimiento de vulnerabilidades, la validación, la explotación, el comando y control, la persistencia, la exfiltración y la generación de informes.

En lugar de dejar que un operador moviera los resultados entre herramientas, el marco asignaba el trabajo a agentes especializados y registraba sus hallazgos en una base de datos, creando un proceso repetible en múltiples objetivos.

Una entrada recuperada, “agente de búsqueda de credenciales 8/44”, confirmó una configuración que involucraba a 44 agentes. Diferentes agentes buscaban credenciales, investigaban vulnerabilidades, intentaban la explotación y gestionaban la exfiltración.

La plataforma generaba informes estructurados y producía formularios en idioma japonés y páginas de inicio de sesión falsas, ayudando a los operadores a adaptar su material a las organizaciones que tenían como objetivo.

Su panel de gestión mostraba las tasas de éxito de la ejecución de las herramientas, el uso de tokens y los controles de creación de lotes. Cada objetivo identificable tenía un informe con formato consistente y un índice de evidencias.

Estos registros respaldaron la evaluación de TrendAI de que la IA impulsaba el flujo de trabajo, en lugar de simplemente ayudar a un operador humano a escribir comandos ocasionales o resumir resultados.

El mismo modelo de coordinación tiene usos legítimos: plataformas como la plataforma de pruebas multi-agente de ThreatBook reúnen agentes automatizados para evaluaciones autorizadas.

Sin embargo, en el despliegue malicioso de CyberStrikeAI, los agentes trabajaron en varias organizaciones en paralelo mientras limitaban el tráfico enviado a cada objetivo. Esa distribución hizo que la actividad fuera más difícil de reconocer analizando únicamente los registros de una sola organización.

La evidencia de intrusión más sólida comenzó con una interfaz de administración no autenticada expuesta en un sistema web antiguo. No hubo ninguna vulnerabilidad novedosa implicada.

Es fundamental destacar que la actividad de validación no significó que todas las organizaciones fueran vulneradas: muchos informes registraron explícitamente “sin sesión, sin shell web, sin exfiltración”, y el compromiso profundo afectó solo a una pequeña proporción.

Qué significa la evidencia para la detección y la defensa

TrendAI reconstruyó la actividad a partir de directorios abiertos que contenían scripts, listas de objetivos, registros, historiales de comandos y resultados de ataques.

Los investigadores no disponían de registros del lado de la víctima, imágenes de disco ni registros de red. Por lo tanto, los hallazgos establecen lo que los atacantes prepararon, intentaron y registraron, pero no pueden confirmar independientemente cada éxito reclamado o el daño total.

Los otros casos ilustran por qué la implicación de la IA necesita un etiquetado cuidadoso. En una operación dirigida por humanos, un LLM ayudó a desarrollar herramientas y planes de ataque, mientras que el operador mantuvo el control.

El robo confirmado de registros de propiedad, información comercial, credenciales de Windows y correos electrónicos pertenecía a ese caso separado, no a la operación de CyberStrikeAI.

Otra infraestructura mostró signos de alta confianza de creación de scripts asistida por IA, pero los investigadores carecían de prompts directos o claves de API que confirmaran su uso.

Informes comparables sobre scripts de robo de credenciales de Linux generados por IA también separan la sospecha de asistencia en la generación de código de la ejecución autónoma. Los comentarios organizados pulcritudmente o el uso de emojis pueden respaldar una evaluación, pero no establecen que la IA controlara una intrusión completa.

Para quienes defienden los sistemas, las prioridades prácticas siguen siendo las mismas: inventariar las aplicaciones expuestas al público, parchear o aislar los sistemas antiguos, eliminar las interfaces de administración innecesarias y reemplazar las credenciales predeterminadas.

El monitoreo debe tener en cuenta los intentos distribuidos de baja frecuencia. TrendAI también recomienda revisar las configuraciones de VPN y los servicios de IA expuestos, reflejando las debilidades observadas en sus tres investigaciones.

Las identidades de los atacantes, los modelos de IA subyacentes y cualquier relación entre las tres infraestructuras siguen sin resolverse.

El chino simplificado era el idioma de trabajo en todos los entornos, pero TrendAI advirtió que el idioma por sí solo no puede establecer la ubicación o afiliación. Su hallazgo central se refiere a la escala y la coordinación, no a la prueba de una nueva campaña respaldada por un estado.