Una ola de ciberataques afecta a plataformas de inteligencia artificial: hackers roban claves de acceso y generan gastos a las víctimas

Al menos 14 plataformas que los programadores usan para crear y alojar aplicaciones de inteligencia artificial informaron incidentes de seguridad entre octubre y los primeros días de noviembre, según la firma de ciberseguridad Wiz. En varios casos, los hackers buscaron claves de acceso a modelos de IA y las utilizaron para generar cientos de miles de consultas cuyos costos recayeron sobre las víctimas.

Wiz publicó su recuento el 30 de octubre con nueve casos, desde Fireworks AI (6 de octubre) hasta Northflank (30 de octubre). Después incorporó Brev, de Nvidia, Trigger.dev, Chainstack, kernel.sh y Blacksmith, que informó su incidente el 5 de noviembre. La firma también recogió reportes en redes sociales sobre un posible ataque a RunPod, todavía sin confirmación.

Los informes públicos identifican un patrón de ataques dirigidos a las variables de entorno, configuraciones donde las plataformas almacenan contraseñas y claves de acceso de sus clientes, especialmente las utilizadas para acceder a modelos de IA. Sin embargo, varios incidentes continúan bajo investigación y Wiz no encontró una vulnerabilidad común ni pruebas suficientes para atribuir todas las intrusiones a un mismo grupo.

La firma describe una de las principales consecuencias como LLMJacking: utilizar claves robadas para ejecutar modelos de IA a cuenta de otra organización o revender el acceso a terceros. Según Wiz, los intermediarios que comercializan esas credenciales alimentan un mercado que vuelve rentable el robo y atrae a más atacantes.

Claves probadas a los 30 minutos y usadas días después

Wiz rastreó dos casos de empresas cuyas claves quedaron comprometidas a través de una de las plataformas afectadas. En ambos, la primera actividad no autorizada ocurrió a los 30 minutos del acceso a las credenciales: una sola consulta desde una dirección IP residencial que probó las claves de varias organizaciones a la vez.

En el primer caso, la clave recibió entre 14 y 120 llamadas diarias durante los días siguientes, algo que Wiz interpreta como una verificación de que seguía vigente. Al cuarto día llegó el tráfico masivo: unas 800.000 llamadas en 30 horas al servicio Bedrock de Amazon, con éxito en cerca del 90%, hasta que la empresa corrigió el problema.

La clave del segundo caso tenía restricciones y apareció siete días después en lo que parecía ser un grupo de reventa. En 13 horas, una sola dirección realizó aproximadamente 1,7 millones de llamadas, más de un millón de ellas exitosas. Wiz identificó que el mismo programa, incluso con idéntico número de versión, había examinado ambas claves antes de los usos masivos.

El impacto económico también fue significativo. Según Wiz, el consumo generado por estos dos casos habría superado los USD 100.000, calculados a precios de lista. La firma también recogió reportes en redes sociales sobre un presunto robo de USD 371.000 en criptomonedas mediante claves almacenadas en Railway y facturas de cientos o miles de dólares para usuarios de OpenCode. Estos últimos datos son testimonios aislados y no constituyen pérdidas verificadas de forma independiente.

Una plataforma cerrará y otra pidió cambiar todas las claves

Zeabur anunció que cerrará sus operaciones como consecuencia del incidente, según Wiz, que cita el informe completo publicado por la propia empresa.

Northflank, tras recibir una alerta de Wiz el 30 de octubre, pidió a sus clientes que asumieran que todas las variables de entorno habían quedado comprometidas y que revocaran y reemplazaran sus credenciales, informó BleepingComputer. Después confirmó que algunos usuarios reportaron el uso no autorizado de claves de IA.

Fireworks detectó su incidente el 6 de octubre. Según su boletín, un tercero utilizó credenciales internas para acceder a variables de entorno de trabajos de evaluación en un número limitado de cuentas. La empresa indicó que no encontró evidencias de acceso a modelos, datos de entrenamiento ni consultas.

Wiz señala que Fireworks, OpenCode y Warp reportaron indicios de un “enjambre de agentes”, es decir, sistemas automatizados que podrían haber participado en las ofensivas. Sin embargo, esos indicios no demuestran que los tres ataques hayan tenido los mismos responsables.

OpenCode y CommandCode atribuyeron sus incidentes a intentos de “destilación”, una técnica que permite entrenar un modelo de IA utilizando las respuestas generadas por otro más avanzado. Wiz señala que esta práctica también ha sido objeto de acusaciones contra laboratorios chinos y que puede incentivar la demanda de claves robadas, aunque no establece que esas organizaciones estén detrás de los incidentes investigados.

Alex Stamos, director de seguridad de Cognition, afirmó en el pódcast Decoder, de The Verge, que claves robadas a Fireworks habrían facilitado el acceso a Cursor, desde cuya tienda se distribuyó una extensión maliciosa. Presentó esa reconstrucción como información preliminar.

Sin embargo, los comunicados oficiales de Cursor y Fireworks no confirman esa conexión. La primera informó que una versión manipulada de la extensión Claude Code pudo afectar como máximo a 5.000 usuarios, no empresas. Tampoco explicó cómo los atacantes consiguieron introducir el software malicioso en su tienda de extensiones, según Ars Technica. Por su parte, el boletín de la segunda compañía no menciona el supuesto vínculo entre ambos incidentes.

Para reducir los riesgos, Fireworks advierte que borrar una clave almacenada en una plataforma no invalida automáticamente la credencial original. Es necesario revocarla ante el proveedor que la emitió, generar una nueva y revisar los registros de actividad para identificar posibles consultas no autorizadas.

En el caso de Northflank, la Cloud Security Alliance señaló el 4 de noviembre que la investigación sobre el incidente seguía abierta. La empresa había informado que comunicaría sus conclusiones cuando completara el análisis forense, por lo que todavía no se había establecido públicamente el alcance definitivo de la intrusión.