Ciberdelincuentes crearon un agente de IA que secuestra servidores para atacar sin supervisión humana

La empresa de ciberseguridad Symantec detectó un programa de inteligencia artificial (IA) autónomo, apodado “Skynet” por sus propios operadores, diseñado para buscar modelos de IA desprotegidos en internet y usarlos como motor para atacar bases de datos, robar contraseñas e instalar mineros de criptomonedas sin intervención humana.

El hallazgo surgió de un señuelo digital, un sistema que imita un servidor de IA vulnerable para atacar y estudiar a quienes intentan abusar de él. Según Symantec, capturó el conjunto completo de instrucciones que un atacante le envió a ese señuelo, creyendo que se trataba de un modelo real.

La herramienta estaba programada para ejecutar hasta 100.000 pasos sin pedir autorización a ningún humano. En ese modo, llamado por sus creadores “modo Skynet”, el agente debía rastrear nuevos objetivos, infectarlos, instalar mineros de criptomonedas y volver a infectar los mismos sistemas de forma cíclica.

El programa contenía 74 herramientas distintas para escanear internet, explotar fallas conocidas en aplicaciones como Django, Jupyter o Laravel, volcar bases de datos y robar credenciales. Una herramienta separada apuntaba a servicios de metadatos en la nube, una vía habitual para robar las claves de acceso de una organización.

Para lograr que un modelo comercial aceptara ejecutar estas órdenes, los atacantes envolvieron sus instrucciones en un jailbreak, una técnica que fuerza al sistema a ignorar sus propios controles de seguridad. Le indicaban tratar el robo de archivos de configuración y contraseñas como una tarea de programación normal.

El atacante le decía al modelo que una lista de palabras, entre ellas “no puedo” o “legal”, quedaba prohibida en sus respuestas, para evitar que el sistema se negara o advirtiera sobre la naturaleza del pedido.

Por qué los servidores quedan abiertos

El ataque no explota ninguna falla de software: alcanza con que el servidor de IA esté conectado a internet sin contraseña. El señuelo de Symantec registró más de 127.000 solicitudes externas de decenas de miles de direcciones distintas durante el período analizado, la mayoría dedicadas a buscar este tipo de endpoints abiertos.

Zenity Labs, otra firma de seguridad, documentó el mismo fenómeno con casos concretos entre marzo y mayo. Sus sensores detectaron a tres operadores distintos que tomaron el control de servidores expuestos de Ollama y LiteLLM, dos programas populares para correr modelos de IA en servidores propios.

Uno de ellos envió un mensaje de 140.000 caracteres para cargar un marco de ataque automatizado llamado Strix y dirigirlo contra un sitio de subastas francés activo, con instrucciones de no pedir permiso y de no revelar el nombre de la herramienta en ningún registro. Otro cargó HexStrike AI, un conjunto de 150 herramientas ofensivas, incluidas nmap, sqlmap y metasploit.

Según Zenity, el problema de fondo son los valores predeterminados de este software: Ollama no exige ninguna contraseña en su puerto habitual, el 11434, y LiteLLM solo pide autenticación si un administrador la activa de forma manual, algo que muchos equipos omiten al poner el servidor en producción.

Un problema que ya tiene escala medida

La firma de seguridad SentinelLabs y la empresa de rastreo de internet Censys hallaron, a comienzos de este año, 175.000 servidores de Ollama accesibles públicamente en 130 países, con cerca de la mitad de ellos habilitados para ejecutar acciones automatizadas además de generar texto.

GreyNoise, otra firma que monitorea el tráfico malicioso en internet, registró 91.403 sesiones de ataque contra infraestructura de IA expuesta entre octubre de 2025 y enero de este año, divididas en dos campañas distintas de reconocimiento a gran escala.

Ese mismo mes, la firma Pillar Security identificó un mercado clandestino, operado bajo el alias “Hecker”, que revendía por criptomonedas y PayPal el acceso robado a más de 30 proveedores de modelos de IA a precios muy por debajo del costo real, tras detectar 35.000 sesiones de ataque propias contra sus señuelos.

La dinámica económica explica el atractivo del método: quien aloja el modelo vulnerado paga la factura del cómputo consumido, mientras los servidores que la IA logra vulnerar quedan despojados de sus datos y convertidos en mineros de criptomonedas a beneficio del atacante.

Symantec sugiere que ninguna empresa exponga a internet un servidor de inferencia o un conector de modelo sin exigir autenticación, y que trate las claves de acceso a servicios de IA como credenciales de alto valor, con rotación periódica y monitoreo de consumo inusual como señal temprana de robo.