El ataque que nadie vio venir: una IA operó sola y secuestró datos sin que nadie tocara un teclado

Una investigación de Sysdig reveló cómo un agente de inteligencia artificial ejecutó un ataque de ransomware completo sin intervención humana, desde la explotación de una vulnerabilidad hasta el cifrado de datos. El responsable fue identificado como JadePuffer, un actor de amenazas que utilizó un modelo de lenguaje para automatizar cada fase de la intrusión.

¿Cómo empezó todo?

La campaña comenzó con una vulnerabilidad en Langflow, una plataforma open source para crear aplicaciones con modelos de lenguaje. Al exponer el servidor a internet, el atacante pudo ejecutar código Python sin autenticación. Una vez dentro, el agente de IA tomó el control.

Autonomía operativa: la clave del ataque

Una persona configuró la campaña, eligió la víctima y preparó la infraestructura inicial. Luego, el agente actuó por su cuenta: reconoció el entorno, interpretó errores, modificó sus acciones y siguió avanzando. En 31 segundos, falló un inicio de sesión, leyó el error y encontró una solución funcional.

El agente revisó procesos activos, interfaces de red, variables de entorno y archivos con secretos. Buscó claves de proveedores de IA, credenciales cloud, billeteras cripto y frases semilla. Todo a una velocidad imposible para un humano.

Del acceso inicial al robo de credenciales

Una vez dentro, la IA buscó sistemas más sensibles. Revisó credenciales almacenadas, exploró servicios internos, probó accesos y accedió a la base de datos con permisos de administrador. Combinó técnicas como uso de credenciales, explotación de debilidades antiguas y creación de una cuenta administradora para sostener el acceso.

El cifrado que no tenía vuelta atrás

La fase final fue el cifrado de datos y la eliminación de la información original. Luego creó un archivo con una dirección de billetera de bitcoin y un correo para la nota de rescate. Pero la clave de cifrado se generó de forma efímera y no quedó almacenada ni transmitida, lo que significa que la víctima no podría recuperar los datos ni siquiera pagando.

La dirección de Bitcoin parecía tomada de documentación pública, lo que sugiere una posible alucinación del modelo o la reproducción de un ejemplo de sus datos de entrenamiento. Esto muestra los límites actuales: el agente puede ejecutar tareas complejas, pero también cometer errores propios de los modelos generativos.

El riesgo de los ataques automatizados

El riesgo principal es que un agente de IA puede recorrer sistemas vulnerables a gran velocidad, probar accesos, interpretar respuestas y adaptar sus pasos. Tareas que antes requerían tiempo y supervisión humana pueden quedar delegadas en un modelo de inteligencia artificial.

El caso deja una advertencia clara: los ciberataques sin intervención humana directa ya son realidad. Empiezan con fallas conocidas, avanzan con automatización y pueden terminar en una extorsión completa antes de que una organización entienda qué está pasando.