Un atacante de habla china usó agentes de IA que trabajaron casi solos para intentar entrar en más de 1.200 sitios y lo logró en más de 100 empresas, entre ellas Deere, SharkNinja y Cummins. El costo estimado: unos USD 50 por intrusión en tokens.
Lo descubrió Snorre Fagerland, investigador principal de la firma noruega NorForge, que publicó su informe el 19 de octubre. Ese mismo día Reuters publicó una exclusiva en la que identificó a las víctimas de forma independiente.
Qué es Cairn
La herramienta se llama Cairn, una plataforma de código abierto que coordina varios agentes de IA hacia un objetivo. El operador define un punto de partida y una meta, y los agentes van anotando en un pizarrón compartido lo que descubren y lo que piensan hacer después.
Su autor, que en X firma como le1xia0, dijo que es «un tipo innovador de arquitectura multiagente» y que no fue diseñada para atacar sitios.
Cómo se descubrió
Desde principios de octubre, Fagerland buscó con Shodan y Censys paneles de Cairn expuestos en internet. Muchos no pedían autenticación, y más de 20 mostraban actividad claramente maliciosa.
Desde esos paneles se veía todo: los objetivos, las tareas que se les daban a los agentes, las vulnerabilidades encontradas y qué sitios ya estaban comprometidos. NorForge agrupó la actividad en tres grupos:
- AIA0001 (en chino, 14 paneles, más de 1.100 proyectos): acceso persistente a tiendas online y sistemas de pago en Estados Unidos, Canadá, Japón y Australia. Es el grupo detrás de las más de 100 intrusiones.
- AIA0002 (en inglés, 10 paneles): robo de tarjetas de crédito y de criptomonedas.
- AIA0003 (un panel): actividad exploratoria, que NorForge califica como maliciosa con baja confianza.
Cómo operaban los agentes
La campaña principal arrancó el 25 de septiembre. Según Reuters, las instrucciones que recibían los agentes tenían menos de 100 caracteres en chino.
El proceso estaba automatizado de punta a punta: los objetivos se elegían por volumen de tráfico (sitios de entre 200.000 y 1,5 millones de visitas), se validaban con Playwright y entraban a Cairn con tareas armadas a partir de plantillas.
Las metas de esas tareas eran clases de vulnerabilidades web conocidas:
- Ejecución remota de código sin autenticación, inyección SQL (también en el login), inyección de plantillas del lado del servidor (SSTI) y SSRF.
- Subidas de archivos inseguras y deserialización insegura en PHP.
- Saltos de autenticación, toma de cuentas y fallas de lógica de negocio.
Una vez adentro, los agentes dejaban un webshell de subida de archivos para mantener el acceso. Según NorForge, las tareas de AIA0001 prohibían explícitamente los shells que ejecutan comandos, más ruidosos; el de subida se puede cambiar después por algo más peligroso.
Uno de los casos documentados muestra el nivel: en un proveedor de repuestos de hardware, el agente encadenó escritura sin autorización en un almacén de sesiones memcached, deserialización insegura en PHP y componentes viejos de Zend Framework. En una gran empresa, al no encontrar fallas en la aplicación pública, los agentes buscaron infraestructura asociada y entraron por un panel de control.
«No son cosas de script kiddie», le dijo Fagerland a Reuters.
Los números
- Tasa de éxito: alrededor del 10% en promedio, según NorForge.
- Tiempo: las intrusiones exitosas tardaron un poco menos de 23 horas desde el arranque, con unas 140 anotaciones de los agentes por proyecto.
- Costo: unos USD 5.000 en tokens en total, cerca de USD 50 por intrusión lograda. NorForge advierte que el margen de error de la estimación es grande.
- Modelos: los procesos de AIA0001 se llamaban
claudecode_deepseek-v4.1-flash. NorForge infiere que era Claude Code usando el modelo DeepSeek V4.1 Flash, pero no está confirmado.
Qué dicen las empresas
- Deere dijo que tomó las medidas de remediación necesarias y que no tiene indicios de acceso a información sensible.
- SharkNinja dijo que el ataque afectó un sitio aislado con información de soporte de productos y que la amenaza fue contenida.
- Cummins dijo que investiga un posible ataque a un sitio operado por uno de sus proveedores.
Dos empresas más chicas también reconocieron la intrusión. Reuters no pudo establecer cuántos datos se llevaron, si es que se llevaron alguno.
No es un caso aislado
En septiembre, Gambit Security había reportado otra ola con agentes que vulneró 25 empresas y se llevó al menos 600.000 registros de tarjetas. Y a principios de mes contamos cómo agentes de IA ya golpeaban sitios de gobierno y Wikipedia.
Lo nuevo acá es la escala con muy poca supervisión humana. Fagerland contó que suponía que los agentes ofensivos todavía necesitaban a alguien al lado, y que ahora es evidente que la tecnología pasó esa etapa.
Hay un efecto secundario: en los paneles expuestos había cientos de credenciales y claves de API, y alrededor del 11% seguían siendo válidas. Si un equipo de red team usa estas herramientas sin protegerlas, los datos de sus clientes quedan igual de expuestos.
Qué pueden revisar
- Archivos PHP subidos que no esperan, sobre todo con nombres inocentes, en tiendas y sitios de soporte.
- Las clases de falla de la lista: subidas de archivos, deserialización en PHP, almacenes de sesión accesibles (memcached), lógica de login y mensajes de error que revelan demasiado.
- Los sitios periféricos y de terceros: en dos de los tres casos con nombre, lo vulnerado fue un sitio secundario o de un proveedor, no la aplicación principal.
- Las propias herramientas de IA: paneles de agentes, harnesses y servidores de prueba nunca expuestos a internet sin autenticación.
¿Su sitio aguanta 23 horas de prueba y error sin descanso?
¿Cuándo fue la última vez que alguien revisó el sitio de soporte o la tienda que maneja un proveedor? Te leemos en los comentarios.
Fuentes
- NorForge: Inside Cairn
- Reuters: How one hacker used AI agents and a few thousand dollars to break into scores of sites
- The Next Web: AI agents broke into 100+ sites for one hacker at $50 each
