Una investigación de NorForge documenta campañas de ciberdelincuencia ejecutadas mediante agentes autónomos. Los ataques exitosos tardaron menos de 23 horas en promedio y su costo estimado fue de unos 50 dólares por intrusión.
Agentes de inteligencia artificial utilizados por ciberdelincuentes intentaron vulnerar más de 1,200 sitios web y consiguieron comprometer más de 100, según una investigación publicada este lunes 19 de octubre por la empresa de ciberseguridad NorForge. Los sistemas recibían instrucciones generales de sus operadores y posteriormente identificaban vulnerabilidades, seleccionaban procedimientos y ejecutaban ataques durante horas, con una intervención humana limitada. Entre las organizaciones cuyos sitios fueron afectados se encuentran Deere, SharkNinja y Cummins, identificadas por Reuters mediante una revisión independiente de la actividad de los atacantes.
La investigación, titulada Inside Cairn: Open Windows into Massive AI-Driven Cyber Operations, fue realizada por Snorre Fagerland, investigador principal de amenazas de NorForge, quien descubrió más de veinte paneles de administración de Cairn expuestos públicamente y aparentemente vinculados con actividades maliciosas. Esta circunstancia permitió observar cómo los operadores utilizaban agentes de IA para desarrollar campañas de intrusión, desde la selección de objetivos hasta la explotación de vulnerabilidades y el establecimiento de accesos persistentes.
Cairn es una plataforma de código abierto diseñada para coordinar agentes mediante objetivos y estados de ejecución. Cada proyecto dispone de un punto de partida, una meta y un registro compartido en el que los agentes incorporan información obtenida durante sus investigaciones y deciden qué acciones realizar posteriormente. Aunque esta arquitectura puede utilizarse para tareas legítimas, los investigadores encontraron que varios grupos la habían incorporado a operaciones delictivas.
Más de mil proyectos de ataque en un solo grupo
NorForge identificó tres grupos de actividad, clasificados como AIA0001, AIA0002 y AIA0003. El primero, que utilizaba instrucciones en chino, concentraba la mayor actividad: más de 1,100 proyectos de ataque distribuidos entre catorce paneles de administración aparentemente relacionados. Sus objetivos principales eran sitios de comercio electrónico de Estados Unidos, Canadá, Japón y Australia, con especial interés en obtener accesos persistentes a infraestructura comercial y de pagos.
Según el informe, los operadores habían automatizado incluso la selección de objetivos. Los sitios eran clasificados por tráfico y sometidos a comprobaciones mediante Playwright, una herramienta de automatización de navegadores, antes de ser asignados a los agentes. Las instrucciones indicaban qué tipos de vulnerabilidades buscar y establecían objetivos como obtener capacidades de ejecución de código o instalar mecanismos de acceso al servidor.
En uno de los casos examinados, los investigadores comprobaron que un servidor comprometido alojaba efectivamente una interfaz para subir archivos instalada durante la intrusión. NorForge también documentó otros casos en comercios electrónicos y sistemas de puntos de venta. Estos hallazgos aportan evidencia técnica de que al menos algunas de las operaciones alcanzaron sus objetivos, aunque no permiten determinar cuántas intrusiones produjeron una extracción efectiva de información.
El segundo grupo, AIA0002, utilizaba instrucciones en inglés y se orientaba al robo de datos financieros, tarjetas de crédito y criptomonedas. NorForge relacionó diez paneles con esta actividad y encontró indicios de accesos exitosos. El tercero, AIA0003, operaba desde un único panel con 59 proyectos, aunque los investigadores atribuyeron menor confianza a su clasificación como actividad maliciosa.
Ataques prolongados por unos cuantos dólares
Uno de los resultados de la investigación es el costo estimado de estas operaciones. NorForge calculó que una tarea promedio podía consumir alrededor de cinco dólares en servicios de modelos de IA, incluyendo intentos fallidos o interrumpidos. Algunas operaciones considerablemente más largas podrían superar los 100 dólares, por lo que estas cifras no constituyen un costo fijo ni proceden de registros de facturación verificados.
En declaraciones a Reuters, Fagerland estimó que la campaña principal había consumido aproximadamente 5,000 dólares en tokens, equivalentes a unos 50 dólares por intrusión exitosa. Según los registros examinados por NorForge, los proyectos exitosos del grupo AIA0001 tardaron, en promedio, poco menos de 23 horas en alcanzar sus objetivos. Algunos permanecieron activos durante varios días.
Los investigadores estimaron una tasa de éxito cercana al 10% para las operaciones observadas, aunque advirtieron que los grupos tenían objetivos diferentes y que no todos definían el éxito de la misma manera. Además, los intentos que no alcanzaban su objetivo final podían recuperar información útil para ataques posteriores.
En los registros del grupo principal apareció un trabajador denominado claudecode_deepseek-v4.1-flash. NorForge señaló que este identificador podría corresponder a una configuración de Claude Code utilizando un modelo DeepSeek V4.1 Flash. Sin embargo, el nombre del trabajador no permite confirmar por sí mismo la arquitectura completa ni establecer qué modelos participaron efectivamente en cada operación.
Otro grupo utilizaba trabajadores denominados pi_openrouter_deepseek, lo que sugiere una integración del entorno de agentes Pi con modelos DeepSeek mediante OpenRouter. Los hallazgos muestran que los operadores podían combinar componentes de diferentes proveedores y herramientas existentes sin desarrollar desde cero una plataforma ofensiva.
Deere, SharkNinja y Cummins, entre las organizaciones afectadas
Reuters examinó los registros de actividad de Cairn e identificó sitios vinculados con las empresas estadounidenses Deere, SharkNinja y Cummins entre los objetivos comprometidos o señalados por los atacantes. Las organizaciones ofrecieron explicaciones diferentes sobre el alcance de los incidentes.
Deere informó que había adoptado medidas correctivas y que no tenía indicios de acceso a información sensible. SharkNinja reconoció una intrusión que afectó a un sitio independiente dedicado a información de soporte de productos e indicó que la amenaza había sido contenida. Cummins señaló que investigaba un posible ciberataque contra un sitio web operado por uno de sus proveedores externos.
Reuters también obtuvo reconocimientos de compromiso de otras dos empresas de menor tamaño, pero no pudo establecer qué cantidad de información, en su caso, había sido sustraída durante las operaciones.
La investigación reveló asimismo que los propios atacantes habían dejado expuesta parte de su infraestructura. Los paneles de Cairn contenían credenciales, claves de API y otros secretos obtenidos durante las tareas. NorForge utilizó la herramienta TruffleHog para examinarlos y encontró cientos de elementos potencialmente sensibles, de los cuales el 11% fue verificado como válido.
Esta exposición también afectaba a operadores que realizaban pruebas legítimas de seguridad, cuyos registros podían contener información confidencial de sus clientes. NorForge informó que colaboraba con Reuters para notificar a las organizaciones afectadas y que intentaba conseguir el cierre de los paneles asociados con actividades delictivas.
Del comportamiento inesperado al uso deliberado de agentes para cometer delitos
Las operaciones documentadas por NorForge deben distinguirse de otros incidentes recientes en los que agentes de IA realizaron acciones contrarias a las instrucciones o expectativas de sus desarrolladores. En este caso, la evidencia apunta a operadores humanos que asignaron deliberadamente objetivos maliciosos a los sistemas y utilizaron su autonomía para ejecutar campañas prolongadas.
El informe se suma a investigaciones anteriores sobre el uso de agentes de IA en actividades delictivas. En septiembre, Gambit Security documentó una campaña que comprometió 25 empresas y permitió sustraer al menos 600,000 registros de tarjetas de crédito, según la información recogida por Reuters. La diferencia de la investigación de NorForge es el acceso a paneles operativos que permitió reconstruir con mayor detalle la selección de objetivos, las instrucciones y los resultados de múltiples campañas.
Los hallazgos muestran que la automatización de ataques informáticos ya no se limita a ejecutar procedimientos previamente programados. Los agentes observados podían explorar sistemas, acumular información, modificar sus procedimientos y continuar intentando alcanzar un objetivo durante periodos prolongados. No obstante, la cantidad exacta de compromisos efectivos, los costos reales y el grado de supervisión humana en cada operación siguen sujetos a incertidumbre.
