Los marcos de trabajo de hacking y pruebas de penetración impulsados por IA se están ejecutando en servidores accesibles desde internet, con algunas consolas de gestión abiertas sin autenticación.

Una instantánea de Shodan del 7 de noviembre de 2026 registró 1.428 servicios coincidentes con la familia ARTEX, 419 coincidentes con PentAGI y 173 coincidentes con Agent Zero, lo que demuestra lo mucho que se han extendido estas herramientas.

Estas plataformas conectan modelos de lenguaje con herramientas de seguridad, permitiendo que los agentes ejecuten comandos, examinen resultados y decidan qué hacer a continuación.

Pueden servir para realizar pruebas autorizadas, pero los atacantes pueden usar las mismas funciones para automatizar el reconocimiento, la explotación y el robo de credenciales. Sin embargo, la visibilidad pública por sí sola no demuestra que un servidor apoye actividades criminales.

Investigadores de GitGuardian identificaron los despliegues expuestos en una investigación técnica publicada el 9 de noviembre. Sus hallazgos se refieren a marcos de uso dual y despliegues inseguros, no a una familia de malware recién descubierta.

El equipo examinó aproximadamente 45 proyectos de código abierto y evaluó 41 en busca de huellas que los defensores pudieran usar para localizar instalaciones orientadas a internet.

Marcos de hacking de IA

GitGuardian catalogó 32 marcos divididos en cinco grupos: automatización de ataques de red, pruebas de API y aplicaciones web, integración de comando y control, envoltorios alrededor de agentes de codificación y prototipos de investigación.

Otros proyectos eran bifurcaciones o variantes. De los 41 marcos evaluados, 11 servían interfaces web por defecto, 18 exponían servicios solo en ciertas configuraciones o carecían de páginas raíz distintivas, y 12 no tenían ningún escuchador de red.

PentAGI coordina agentes utilizando herramientas como Nmap, Metasploit y sqlmap. Como se explicó en coberturas anteriores sobre la automatización de pruebas de penetración de PentAGI, este diseño ayuda a los agentes a moverse entre el descubrimiento, las pruebas y el reporte.

GitGuardian contó 419 servicios coincidentes, incluyendo 233 con el certificado por defecto, mientras que las búsquedas separadas de títulos y certificados devolvieron totales diferentes. Estas mediciones no deben combinarse en un recuento único de servidores.

Agent Zero mostró una brecha de autenticación más clara. De 173 servicios coincidentes, 134 mostraban una página de inicio de sesión y 39 estaban abiertos. GitGuardian describió a Agent Zero como un agente de propósito general sin autenticación por defecto, en lugar de una herramienta de hacking dedicada.

Su inclusión refleja la experimentación reportada de atacantes y los riesgos creados cuando agentes potentes se vuelven accesibles públicamente.

ARTEX siguió siendo la familia visible más grande. GitGuardian informó que su creador eliminó el proyecto original el 8 de octubre tras informes de abuso, pero aparecieron 102 bifurcaciones y repositorios con nombres similares durante esa semana.

Informes anteriores sobre el robo de credenciales de GitHub de ARTEX documentaron cómo los atacantes usaron secretos de aplicaciones expuestos para alcanzar recursos en la nube, incluyendo Azure Key Vault.

La revisión del código también separó las funciones integradas de las tareas que un agente podría ensamblar por sí mismo. Solo Pojun, Cybermes, Xalgorix y AIRecon incluían un escáner de secretos conectado al agente.

Ninguno contenía un extractor de GitHub. Varios proyectos más proporcionaban instrucciones sin una integración de escáner funcional, mientras que las herramientas revisadas, incluyendo PentAGI, no tenían una capacidad identificada de búsqueda de secretos.

Esa limitación no elimina el riesgo. Casi todos los marcos proporcionaban acceso a shell y web, permitiendo que un modelo obtuviera herramientas faltantes o construyera un flujo de trabajo en tiempo de ejecución.

La cobertura sobre la exposición de credenciales de agentes de IA también explica cómo la actividad ordinaria de un agente puede mover secretos a los registros, transcripciones o al contexto del modelo, incluso sin malware.

Para los defensores, la distinción es importante: una consola expuesta es un problema de control de acceso, mientras que una coincidencia de huella es solo una pista de descubrimiento. GitGuardian publicó descripciones de detección en lugar de una lista de objetivos para que las organizaciones pudieran identificar sus propios despliegues.

Diferentes consultas produjeron recuentos diferentes, lo que hace que la validación sea esencial antes de tratar un resultado como una instalación expuesta o evidencia de compromiso.