Las herramientas de IA utilizadas por los equipos de seguridad para probar sus redes. Una investigación revela campañas automatizadas que acceden a paneles expuestos de Cairn, una plataforma de agentes de IA autónomos. Una vez dentro, los atacantes secuestran estos agentes para asignarles nuevas tareas, tales como instalar puertas traseras y robar claves API.

Atacando ahora las herramientas de IA que los equipos de seguridad usan para probar sus propias redes. Una nueva investigación describe campañas automatizadas que irrumpen en paneles expuestos de Cairn, una plataforma que asigna objetivos a agentes de IA y les permite trabajar por su cuenta.

Una vez dentro, los atacantes introducen nuevas tareas en esos agentes. Estas tareas instalan claves SSH no autorizadas, descargan un troyano de acceso remoto y buscan claves API almacenadas. La actividad comenzó el 20 de octubre de 2026, aunque algunos indicios apuntan a sondeos anteriores.

Cairn está diseñada para que sea fácil ejecutar agentes de IA. Tú defines un objetivo y un punto de partida, y el agente lleva a cabo el trabajo mientras publica sus hallazgos como hechos en un panel web.

Cualquiera que pueda acceder a ese panel puede ver proyectos, iniciar nuevas tareas y detener o eliminar las que estén en ejecución. Ese control hace que un panel desprotegido sea muy valioso para un atacante.

El 20 de octubre, alguien que utilizaba el alias AstraRCE desfiguró muchos paneles de Cairn, pero ese vandalismo fue independiente de las intrusiones posteriores.

Investigadores de NorForge, una firma de sandboxing que trabaja en la seguridad de agentes de IA, identificaron la actividad maliciosa mientras observaban paneles expuestos.

En su publicación técnica del blog, el equipo describió cómo funcionaban las tareas inyectadas y documentó el malware y sus servidores de comando y control. La empresa afirmó que solo observó los paneles de forma pasiva y no interactuó con los atacantes.

Secuestran agentes de pentesting de IA

Las intrusiones aparecieron primero como una serie de 11 tareas nuevas en un panel. Estas tareas se veían diferentes al trabajo normal, con extrañas cadenas hexadecimales en sus títulos.

Solo apuntaban al host local de Cairn, no a objetivos externos. Una tarea se llamaba "Install kali SSH key". Sus instrucciones le decían al agente que añadiera una clave pública desconocida al archivo authorized_keys del usuario kali. El agente siguió la instrucción sin cuestionarla.

Poco después, las tareas maliciosas desaparecieron del panel. NorForge encontró más tarde tareas inyectadas similares en al menos 17 paneles expuestos, y algunos de esos paneles pertenecían a red teams y ejercicios de capture-the-flag.

La campaña pasó entonces al malware. El 21 de octubre a las 21:15 UTC, apareció en un panel una tarea llamada "Local worker maintenance". Contenía un script codificado en base64 que el agente decodificó y ejecutó.

El script descargó un binario de Linux, verificó su hash SHA256 y lo lanzó en segundo plano. NorForge identificó el binario como un implante Poseidon, un troyano de acceso remoto basado en Go que normalmente se gestiona a través del framework de red team de código abierto Mythic.

El malware siguió ejecutándose hasta que un operador creó un archivo de parada, lo que sugiere que los operadores querían que permaneciera activo el mayor tiempo posible. El mismo patrón de abuso de herramientas de IA expuestas ha aparecido en otros informes sobre ataques a pasarelas de IA expuestas que roban credenciales.

Las tareas de reconocimiento fueron más allá del acceso. Una tarea le indicó al agente que buscara en las carpetas del sistema archivos y variables de entorno que contuvieran términos como API_KEY y ANTHROPIC_AUTH_TOKEN.

Otras tareas escribieron secretos en textos de hechos públicos, donde cualquiera que viera el panel podía leerlos. NorForge informó que la campaña robó secretos, incluidas claves API de modelos de IA.

Este riesgo no siempre requiere malware. Los agentes que ejecutan comandos y leen archivos de configuración pueden filtrar credenciales durante el trabajo normal, como se explica en la cobertura de los riesgos de superficie de credenciales invisibles que crean los agentes de IA.

Dos grupos y el riesgo mayor para la IA agéntica

NorForge rastrea dos clústeres separados, que llama AIA0009 y AIA0010. El AIA0009 utiliza sufijos hexadecimales aleatorios en los nombres de las tareas y una etiqueta llamada "cairnscan" para sus sondeos.

Se centra en la persistencia, el acceso y la entrega de malware. El AIA0010 utiliza nombres de tareas que copian las propias etiquetas de intención de Cairn, como "i014". Busca servicios internos, credenciales y otros paneles expuestos.

NorForge no encontró indicadores sólidos compartidos entre los dos, por lo que actualmente los trata como grupos separados, aunque esa visión podría cambiar con nuevos datos. Solo se ha visto al AIA0009 desplegando malware.

Los investigadores también se preguntaron si la IA ayudó a ejecutar estas campañas. La actividad llegó en oleadas sincronizadas a través de varios paneles, lo que apunta al uso de scripts.

También parece que los humanos intervinieron en puntos clave, como durante una pausa antes de que se desplegara el malware, cuando se configuraron el servidor de comandos y el servidor de descargas.

Aun así, NorForge cree que el problema mayor es lo que exponen los sistemas agénticos. Un riesgo similar apareció en la cadena de ataque AgentCorruption, que mostró que un solo prompt podía acceder a claves API, tokens OAuth y secretos guardados en AWS Secrets Manager.

Cairn también ha sido mal utilizada más allá de esta campaña. Una investigación separada de Gambit Security encontró que un operador motivado financieramente utilizó Cairn contra minoristas para lanzar 105 proyectos en una sola semana de septiembre.

Si tú estás ejecutando Cairn, deberías asegurar tus paneles de inmediato. NorForge aconseja ejecutar las tareas de los agentes dentro de contenedores, mantener a los agentes dentro de límites estrictos y nunca dejar los paneles abiertos a internet.

Tú y tu equipo también deberíais rotar cualquier clave API que haya podido quedar expuesta y revisar vuestros archivos authorized_keys de SSH en busca de entradas desconocidas.

Fuentes:
https://cybersecuritynews.com/ai-pentesting-agents/