Según una investigación de Reuters, un hacker de habla china utilizó agentes de IA para vulnerar más de 100 sitios web de diversas empresas. La operación tuvo un coste estimado de 5.000 dólares en tokens de IA y demuestra cómo una sola persona puede dirigir software para ejecutar ataques complejos con una intervención humana mínima. Entre los objetivos se encontraban sitios vinculados a la empresa Deere.

Un actor malicioso de habla chino utilizó agentes de IA para irrumpir en más de 100 sitios web de empresas, gastando una cantidad estimada de 5.000 dólares en tokens de IA, según una investigación de Reuters realizada en octubre. La operación demuestra cómo una sola persona puede dirigir un software para llevar a cabo ataques complejos con muy poca intervención humana continua.

Los objetivos incluyeron sitios vinculados a Deere, SharkNinja y Cummins, aunque el impacto reportado varió entre estas empresas. Después de que la campaña comenzara el 25 de septiembre, los agentes intentaron comprometer más de 1.200 sitios web, principalmente tiendas en línea en Estados Unidos, Canadá, Australia y Japón.

Snorre Fagerland, investigador principal de amenazas en NorForge, descubrió la actividad mientras buscaba instalaciones expuestas de Cairn, una plataforma de código abierto que coordina agentes de IA. Alrededor del 2 de octubre, encontró aproximadamente dos docenas de instalaciones que aparentemente se estaban utilizando para actividades maliciosas.

Cómo Cairn automatizó los ataques

Cairn es un motor de resolución de problemas de propósito general, más que una herramienta construida solo para el hackeo. En los ataques descritos en el informe técnico de NorForge, los operadores proporcionaban un objetivo y una meta, y luego los agentes buscaban debilidades y trabajaban para obtener acceso.

La plataforma almacena los hallazgos en un tablero de proyecto compartido para que sus agentes puedan utilizar descubrimientos anteriores para elegir sus siguientes pasos. Esto les permite probar diferentes rutas cuando un enfoque inicial falla, en lugar de depender de un único escaneo fijo.

NorForge rastreó el grupo de actividad más grande en idioma chino como AIA0001, vinculándolo a 14 tableros que contenían más de 1.100 proyectos de ataque. Su canal de objetivos utilizaba la herramienta de automatización de navegador Playwright de Microsoft para verificar que los sitios de compras pudieran aceptar pedidos antes de pasarlos a Cairn.

Las instrucciones de las tareas se centraban en encontrar formas de ejecutar código sin iniciar sesión, incluyendo inyección SQL, cargas de archivos inseguras, omisiones de inicio de sesión y manejo inseguro de objetos almacenados. El objetivo aparente era obtener acceso duradero a los sistemas de compras y pagos que pudieran generar dinero posteriormente.

NorForge confirmó una brecha alegada al revisar una dirección reportada en el sitio web de un proveedor de hardware y encontrar una webshell de carga activa. Este script del lado del servidor permitía colocar archivos en el sitio comprometido, creando un punto de apoyo para ataques posteriores.

Según el propio relato del agente, ese ataque combinó el acceso de escritura no autorizado a un almacén de sesiones memcached con la deserialización insegura de objetos PHP y componentes antiguos de Zend Framework. La cadena convirtió las debilidades en el almacenamiento de sesiones y el procesamiento de objetos en acceso al servidor, en lugar de depender de un único punto de entrada obvio.

En otro caso, los agentes fueron más allá de la aplicación principal de una empresa después de no encontrar una debilidad. Buscaron en la infraestructura relacionada, encontraron un panel de control expuesto y pasaron horas probando su manejo de datos antes de informar que podían ejecutar comandos en el servidor.

Bajos costes, agentes de larga duración

Los proyectos exitosos de AIA0001 tardaron una media de poco menos de 23 horas, mientras que uno funcionó durante más de cinco días. A través de las campañas observadas, NorForge estimó el éxito en torno al 10%, aunque los objetivos y las metas variaron entre los operadores.

Fagerland estimó que la campaña principal consumió unos 5.000 dólares en tokens, o aproximadamente 50 dólares por cada intrusión exitosa. Estas cifras son estimaciones, no registros de facturación confirmados. NorForge situó por separado el coste medio de la tarea cerca de los 5 dólares cuando se incluyeron los intentos fallidos y los que terminaron prematuramente, advirtiendo que la incertidumbre era sustancial.

Los nombres de los trabajadores sugerían una configuración de Claude Code utilizando un modelo DeepSeek, pero NorForge no confirmó la configuración completa del modelo. Las instrucciones en chino tampoco establecen la nacionalidad del operador, y los investigadores no encontraron ninguna actividad obvia respaldada por el estado en los paneles expuestos.

Informes relacionados sobre agentes de IA utilizados para robar datos de tarjetas de crédito minoristas describieron una campaña separada que involucraba a Cairn y otras herramientas. Otra investigación sobre el robo de credenciales impulsado por DeepSeek mostró a atacantes utilizando agentes para explotar secretos expuestos y configuraciones débiles, en lugar de confiar en fallos nuevos.

Deere dijo a Reuters que tomó medidas correctivas y no encontró indicios de que los atacantes hubieran accedido a información sensible. SharkNinja afirmó que el sistema afectado era un sitio de soporte de productos independiente y que la amenaza había sido contenida. Cummins estaba investigando un posible ataque en un sitio web gestionado por un tercero.

Reuters no pudo determinar cuántos datos, si es que hubo alguno, fueron sustraídos en las brechas. NorForge también encontró cientos de secretos expuestos en los paneles abiertos y dijo que estaba trabajando con Reuters para notificar a las víctimas.

La exposición también afectó a evaluadores de seguridad legítimos. NorForge encontró tableros de prueba no asegurados que revelaban información de clientes, demostrando que las herramientas de IA mal protegidas crean riesgos durante el trabajo autorizado.

Como defensor, debes parchear las aplicaciones orientadas al público, restringir el acceso a los paneles de administración y vigilar la aparición de archivos inesperados en los directorios web. Los equipos de seguridad también deberían revisar las solicitudes web sospechosas e aislar los servidores donde se encuentren webshells, para luego investigar si hubo robo de datos, accesos adicionales u otro malware antes de restaurar el servicio.