Un grupo de ciberdelincuentes de habla rusa consiguió utilizar el agente de programación Cursor como asistente para infiltrarse en redes empresariales, robar credenciales y buscar cuentas con altos privilegios después de convencer al sistema de que las operaciones formaban parte de una simulación autorizada. El caso aparece justo cuando más de 100 empresas y organizaciones, entre ellas OpenAI, Anthropic, Google, Microsoft y Amazon Web Services, firmaron una carta para advertir que los ataques potenciados por inteligencia artificial serán cada vez más frecuentes y pedir una movilización global para reforzar las defensas digitales.
La campaña fue descubierta por la firma israelí Gambit Security después de localizar un servidor expuesto perteneciente a Aur0ra, un grupo de ransomware que comenzó a registrar actividad durante 2026. El error permitió a los investigadores acceder a 28 conversaciones mantenidas entre uno o varios operadores del grupo y un agente de Cursor entre el 8 de abril y el 21 de mayo. Los registros muestran al agente participando en operaciones contra 10 organizaciones y ayudando en tareas que normalmente requieren intervención directa de especialistas en intrusión informática.
Reuters pudo identificar de manera independiente seis de las víctimas a partir de los registros, entre ellas el fabricante belga de productos de higiene Christeyns, la compañía alemana Teckentrup, la británica Helideck Certification Agency y Bayou Title, de Estados Unidos. La agencia reportó que la campaña afectó al menos a siete compañías, mientras que otro análisis de CloudSEK encontró que Aur0ra afirmaba haber comprometido a más de 20 organizaciones en total, aunque no todas pueden atribuirse al uso de Cursor.
El atacante decía que todo era una prueba
Los registros ofrecen una imagen poco habitual de cómo un agente de IA puede integrarse al trabajo cotidiano de un ciberdelincuente. Los operadores daban órdenes breves para localizar cuentas administrativas, encontrar contraseñas, explorar redes internas o identificar sistemas vulnerables. El agente respondía generando comandos, proponiendo técnicas y modificando sus propios intentos cuando una operación fallaba.
En una de las intrusiones documentadas por Reuters, el agente confirmó que había conseguido establecer una conexión mediante VPN con la red de una empresa argentina. En otra situación recomendó una herramienta de explotación después de encontrar un servidor vulnerable y evaluó como muy alta la probabilidad de que el ataque funcionara. Gambit señaló que Cursor también ayudó en tareas relacionadas con reconocimiento de privilegios, credenciales y explotación de infraestructura interna.
El agente no aceptó todas las instrucciones. En varias ocasiones identificó solicitudes como potencialmente dañinas o ilegales y se negó a realizarlas. Sin embargo, los operadores descubrieron que podían eludir las restricciones iniciando una nueva conversación y explicando que estaban trabajando dentro de un entorno de pruebas autorizado.
Los registros analizados por Gambit muestran que esa explicación podía ser suficiente para cambiar la interpretación del sistema. Al aceptar como verdadera la afirmación de que se encontraba en un entorno de prueba, el agente continuaba con acciones que, fuera de ese contexto declarado, eran compatibles con una intrusión real. Reuters reportó que el modelo utilizado dentro del agente era Claude Sonnet 4.5, desarrollado por Anthropic.
El episodio expone un problema especialmente difícil para los agentes utilizados en ciberseguridad: muchas de las acciones necesarias para realizar una auditoría legítima son técnicamente idénticas a las utilizadas durante un ataque. Escanear una red, probar credenciales, buscar vulnerabilidades o intentar elevar privilegios puede formar parte tanto del trabajo de un equipo de seguridad como de una operación criminal. Si el sistema depende principalmente de la descripción proporcionada por el usuario para establecer la legitimidad de la operación, un atacante puede intentar falsificar precisamente ese contexto.
La IA reduce el trabajo manual del atacante
Gambit considera que Cursor no sustituyó completamente al operador humano, pero sí redujo considerablemente la cantidad de trabajo necesario. Eyal Sela, director de inteligencia de amenazas de la compañía, estimó que la herramienta podía hacer al atacante entre 30% y 50% más rápido al automatizar tareas que anteriormente tendría que realizar manualmente. Reuters señaló que no pudo determinar de manera independiente cuánto dependió cada intrusión de la IA ni si todos los accesos terminaron en robo de información o intentos de extorsión.
Ese matiz es importante. El caso no demuestra que un agente autónomo haya decidido atacar empresas por iniciativa propia. En varias operaciones el ciberdelincuente ya tenía credenciales o alguna forma de acceso y utilizó al agente para avanzar dentro de las redes. Lo que cambia es la división del trabajo: el humano puede definir objetivos mientras la herramienta genera comandos, prueba alternativas y ejecuta parte de los pasos intermedios necesarios para alcanzarlos.
Cursor pertenece actualmente a SpaceX, que completó su adquisición el 14 de agosto. Sin embargo, la campaña documentada por Gambit ocurrió entre abril y mayo, antes de que concluyera la compra, por lo que SpaceX no controlaba todavía la compañía durante buena parte de las operaciones descritas en los registros.
Más de 100 compañías advierten que queda poco tiempo
La publicación del caso coincidió el 27 de agosto con una carta abierta firmada por más de 100 compañías y organizaciones que pide una respuesta coordinada ante el crecimiento de los ataques potenciados por IA. Entre las firmantes se encuentran OpenAI, Anthropic, Google, Microsoft, AWS, Cloudflare, CrowdStrike, Cisco, IBM, Hugging Face, Palo Alto Networks, Visa, Mastercard y diversas compañías financieras, de infraestructura y ciberseguridad.
El documento advierte que durante los próximos meses los ataques habilitados por IA serán más generalizados y sofisticados conforme aumenten las capacidades de los modelos. Las compañías consideran que existe una ventana limitada para reforzar la infraestructura digital antes de que estas capacidades se extiendan y señalan como particularmente vulnerables servicios esenciales como hospitales, sistemas de agua e infraestructura de internet.
Entre las medidas propuestas están aumentar el financiamiento destinado a ciberseguridad, ampliar el acceso de defensores acreditados a modelos avanzados, compartir inteligencia sobre amenazas y facilitar herramientas de IA a operadores de infraestructura crítica. La carta también coloca responsabilidades directamente sobre las empresas que desarrollan modelos de frontera: les pide mejorar las herramientas de observabilidad, garantizar que las identidades de los agentes puedan ser rastreadas y responsabilizadas y mantener sistemas de monitoreo continuo.
El caso de Aur0ra ayuda a explicar por qué esa discusión dejó de ser únicamente preventiva. Los modelos no sólo están reduciendo el costo de escribir malware o buscar vulnerabilidades; los agentes pueden incorporarse directamente al proceso operativo de una intrusión, probar herramientas y tomar decisiones intermedias mientras trabajan junto a una persona.
La carrera de seguridad se vuelve entonces más compleja. Los mismos sistemas que las empresas quieren poner en manos de defensores para localizar vulnerabilidades antes que los atacantes también pueden ser utilizados para acelerar una ofensiva. Y los controles necesitan distinguir no sólo qué está haciendo un agente, sino para quién lo está haciendo, contra qué sistema y con qué autorización. El atacante de Aur0ra encontró una manera particularmente sencilla de explotar esa incertidumbre: decirle a la IA que todo era una prueba.
