Menos de 100 caracteres y más de 100 webs vulneradas: cómo la IA acelera los ataques cibernéticos

Un atacante de habla china logró comprometer más de 100 sitios web de un total de 1.200 intentos usando solamente instrucciones de menos de 100 caracteres. El caso, observado por investigadores de NorForge y reportado por Reuters, ilustra cómo la inteligencia artificial está acelerando y escalando los ataques cibernéticos de una forma que antes requería mucho más esfuerzo humano.

El sistema en cuestión no fue diseñado específicamente para hackear, sino que se trata de Cairn, una plataforma abierta de resolución de problemas con múltiples agentes. Estos agentes pueden dividir tareas, compartir hallazgos y decidir los siguientes pasos de forma autónoma durante horas. En la práctica, eso significa que pueden realizar reconocimiento, buscar vulnerabilidades y experimentar con diferentes enfoques sin intervención constante.

Uno de los ejemplos más llamativos mostró cómo, tras fallar en la aplicación principal de una gran compañía, el sistema empezó a rastrear registros públicos, encontró un panel administrativo expuesto, identificó una debilidad en el procesamiento de datos y persistió hasta lograr la ejecución de comandos en el servidor. "Esto no es cosa de script kiddies", señaló el investigador principal de amenazas de NorForge.

El costo también cambió drásticamente. Según el análisis, los proyectos que tuvieron éxito tardaron en promedio menos de 23 horas, pero el gasto total de la campaña rondó los 5.000 dólares en tokens de IA, lo que equivale a unos 50 dólares por compromiso logrado. Esto permite a un solo atacante mantener múltiples operaciones en paralelo con una inversión relativamente baja.

Este caso se enmarca en una tendencia más amplia. Anthropic y Google Threat Intelligence han documentado operaciones donde sistemas agenticos realizan reconocimiento, explotación y extracción de datos de manera autónoma durante horas. Las técnicas siguen basándose en vulnerabilidades conocidas, credenciales robadas o servicios mal configurados, pero la IA permite delegar gran parte del trabajo repetitivo.

Cómo protegerse frente a este nuevo panorama

Aunque el ataque masivo se centró en sitios web, las defensas deben adaptarse a la velocidad que aporta la IA. Acá van pasos prácticos que podés implementar hoy:

1. Revisá y limitá los privilegios de todas tus cuentas y servicios. Usá el principio de mínimo privilegio: que nadie (ni ningún agente automatizado) tenga más acceso del estrictamente necesario.

2. Monitoreá los logs de forma activa. Configurá alertas para detectar actividad inusual, como múltiples intentos de acceso o consultas repetidas a paneles administrativos.

3. Actualizá y parcheá todo. Muchas de las vulnerabilidades explotadas en estos ataques automáticos son conocidas. Herramientas como actualizaciones automáticas ayudan a cerrar puertas antes de que un agente de IA las encuentre.

4. Usá autenticación fuerte y multifactor en todos los servicios expuestos a internet. Evitá credenciales débiles que puedan ser probadas de forma masiva.

5. Considerá implementar soluciones de detección basadas en IA para defenderte con las mismas herramientas que usan los atacantes. Hay opciones accesibles que analizan patrones de comportamiento anormal.

Las empresas afectadas, entre las que se identificaron sitios vinculados a Deere, SharkNinja y Cummins, reportaron impactos limitados y no se confirmó extracción masiva de datos. Sin embargo, el mensaje es claro: un atacante ya no necesita estar frente a la pantalla las 24 horas para mantener una campaña a gran escala.

El humano sigue siendo clave para elegir objetivos, interpretar resultados y decidir cómo monetizar los accesos. Pero la IA está cambiando cuánto puede lograr una sola persona antes de necesitar la siguiente intervención.

En un contexto donde las pymes argentinas y latinoamericanas cada vez dependen más de sitios web y servicios en la nube, entender esta evolución es fundamental. La carrera ya no es solo de velocidad: es de escala. Y la IA está poniendo esa escala al alcance de más actores.