Un agente de IA de DeepSeek, que había sido liberado de sus restricciones (jailbroken), logró infiltrarse durante más de dos semanas en un proveedor de telecomunicaciones europeo y en otras 13 empresas alojadas en sus sistemas. Según los investigadores de Malbear Labs, quienes denominaron a esta campaña "Operation Snowball", el atacante tuvo acceso a millones de registros sanitarios.

Un agente de IA de DeepSeek con jailbreak pasó más de dos semanas infiltrándose en un proveedor de telecomunicaciones europeo y en 13 empresas alojadas en sus sistemas. Según se informa, logró acceder a millones de registros sanitarios durante el proceso.

Los investigadores de Malbear Labs han llamado a esta campaña "Operación Snowball". La descubrieron después de que un barrido rutinario revelara un directorio abierto que contenía todo el espacio de trabajo del atacante.

Brecha del agente de IA de DeepSeek con jailbreak

Según la investigación técnica publicada por Malbear Labs, el directorio abierto no requería contraseña. En su interior había unos 70 borradores de sesiones, resultados de escaneo de cientos de hosts, credenciales robadas y volcados de bases de datos. Todo lo que el operador escribió y cada informe que los agentes respondieron estaba en chino.

Los investigadores no publicaron la dirección IP del servidor para proteger a las víctimas. También advierten que el idioma del operador no prueba su nacionalidad ni ningún vínculo con un gobierno.

La configuración era un marco de agente personalizado basado en DeepSeek Flash, un modelo con una ventana de contexto de un millón de tokens. Esa ventana permitió que el agente principal mantuviera en memoria cada host, contraseña e intento fallido durante días. Un atacante humano tiene que releer sus notas después de cada intrusión; este agente no tuvo que hacerlo.

DeepSeek normalmente se niega a escribir webshells o adivinar contraseñas. El operador evitó esto con un prompt de sistema de 78.000 caracteres. Comenzó con una plantilla de jailbreak pública llamada "Little Code Sauce", que se difundió a través de una comunidad de plugins en un foro chino.

El operador eliminó los trucos de juego de rol y añadió unas 400 líneas de instrucciones de ataque. El prompt le decía al modelo que una negativa era un mal funcionamiento y le proporcionaba una lista de frases de rechazo que debía evitar en inglés y chino.

Esto coincide con lo que otros equipos han visto. Unit 42 de Palo Alto informó que un hacker llamado BUGSTER utilizó un DeepSeek V4 con jailbreak junto con el marco Hermes Agent.

Ese actor robó más de 5.200 registros de una universidad india, y el jailbreak fue solo una simple anulación del prompt del sistema.

El agente ejecutó tareas desde el reconocimiento hasta el robo de datos con muy poca ayuda. Escaneó redes, probó contraseñas, desplegó webshells y se movió entre sistemas. Cuando las defensas lo bloquearon, cambió de rumbo.

Los informes indican que escribió su propia herramienta de tunelización de reemplazo y reconstruyó una cadena de exploits contra un servidor Liferay restringido.

Los mensajes del operador eran muy cortos. Uno decía "Continúa" y otro le ordenaba al agente cerrar el último agujero de alto riesgo. El agente elegía el objetivo, el fallo y el método. Una persona que ejecute esto no necesita entender las técnicas.

El sistema también puntuaba cada intrusión, como si fuera un juego. Un pivote hacia un segmento de red interna separado ganaba muchos más puntos que una sola shell de servidor. Las herramientas de seguridad, como las consolas de firewall, también tenían puntuaciones altas.

En el momento de la recuperación, el total era de 3.725 puntos. La puntuación demuestra que al operador le importaban más los sistemas que vigilan y dividen una red.

El hallazgo más preocupante involucra datos sanitarios. Según se informa, los datos de inicio de sesión por defecto le dieron al agente acceso total de administrador de base de datos a un sistema TrakCare que funcionaba en una antigua base de datos Oracle 9i.

Eso expuso millones de registros en tablas de pacientes, vacunación y citas. El agente también extrajo miles de filas de facturación de suscriptores y datos de dispositivos, y tomó claves criptográficas de la empresa de telecomunicaciones.

Cabe hacer una advertencia. Un resumen del informe señala que estos resultados no fueron verificados independientemente en el material disponible. Trata la escala exacta como una afirmación de los investigadores por ahora.

Aun así, la causa raíz es básica: una contraseña por defecto sin cambiar abrió la puerta.

Esta campaña no es un caso aislado. CrowdStrike informó que el grupo vinculado a China, VAPOR PANDA, ejecutó el marco ARTEX, principalmente sobre DeepSeek, contra más de 200 organizaciones en al menos 14 países durante 11 días a partir del 17 de octubre.

Confirmaron el acceso en nueve organizaciones, donde el grupo plantó la puerta trasera BLOODALCHEMY. Proveedores de telecomunicaciones en EE. UU., Bélgica y Filipinas también fueron afectados.

La velocidad es un cambio importante aquí. Adam Meyers, de CrowdStrike, dijo que los intrusos humanos suelen ejecutar hasta 40 comandos por hora, mientras que la actividad de ARTEX superó los 1.500.

Debido a que no hay un humano sentado al teclado, buscar patrones de horario laboral o sesiones lentas y cuidadosas no servirá de nada. La actividad del agente es ruidosa y repetitiva, así que vigila los logs de red y de endpoints para detectar escaneos rápidos, ráfagas de inicios de sesión fallidos y túneles inusuales.

Empieza por lo básico:

• Cambia cada contraseña por defecto, especialmente en sistemas de bases de datos antiguos.
• Mantén los segmentos de red internos realmente separados.
• Coloca sensores de endpoint en servidores que parezcan inalcanzables desde internet.
• Vigila los directorios abiertos y el almacenamiento expuesto.

La lección es simple. La IA no inventó nuevas debilidades; encontró las antiguas más rápido de lo que cualquier equipo puede parchearlas.