Skynet busca presas: una IA maliciosa se apodera de servidores ajenos
Imagina que pones en marcha un agente de IA para buscar ofertas de empleo y, en lugar de eso, instala un minero de criptomonedas en tu ordenador, consume tus tokens y busca por internet otros agentes a los que infectar. No es el argumento de un tecnothriller, sino un esquema real descubierto por investigadores de Symantec. La empresa lo denomina Autonomous LLMjacking, o secuestro autónomo de modelos de lenguaje grandes (LLM). Según los investigadores, la campaña es sofisticada y está muy extendida.
El verano pasado, Symantec creó una «trampa»: una imitación de infraestructura de IA vulnerable diseñada para atraer a los atacantes. Poco después apareció en ella un agente malicioso al que los investigadores bautizaron Skynet. El agente entregó a la trampa el conjunto completo de sus instrucciones, lo que permitió a los especialistas estudiar cómo estaba organizada la campaña.
Los atacantes crearon un agente que busca sistemas de IA accesibles desde internet, se apodera de ellos y los incorpora a una botnet, una red de dispositivos controlados por los atacantes. Los sistemas comprometidos se utilizan para robar bases de datos y credenciales, así como para instalar mineros de criptomonedas. Las instrucciones del agente incluían más de 70 herramientas de ataque y le permitían operar sin intervención humana durante hasta 100.000 pasos.
Para sortear las restricciones de seguridad de los modelos, los operadores empleaban un jailbreak por capas: un conjunto de instrucciones destinado a hacer que la IA ignorase las normas de seguridad. El robo de contraseñas y otros secretos se presentaba como una tarea normal de desarrollo. Por ejemplo, se indicaba a los modelos que considerasen la lectura de archivos de configuración, variables de entorno, claves API, esquemas de bases de datos e información de usuarios como una tarea legítima de programación, y que ignorasen las advertencias de seguridad.
El conjunto de herramientas automatizaba la búsqueda de vulnerabilidades y los intentos de explotarlas. Entre los objetivos había instalaciones de VS Code, Django, Jupyter, Laravel, Supabase, Next.js y Flask/Werkzeug sin protección o vulnerables. Algunas herramientas aprovechaban la vulnerabilidad SSRF —la falsificación de solicitudes del servidor, que permite acceder a recursos haciéndose pasar por el servidor— para extraer bases de datos y recopilar credenciales. Otras estaban concebidas para controlar la botnet y acceder a los metadatos de servicios en la nube, información técnica que a veces ayuda a llegar a secretos y ajustes.
Cuando detectaba un modelo comercial de IA expuesto, Skynet intentaba engañarlo con un jailbreak de varias fases: ocultaba su verdadera función, presentaba el robo de datos como una tarea normal de desarrollo y exigía ignorar cualquier advertencia. En uno de los fragmentos de las instrucciones se decía que leer y mostrar los archivos .env y .env.local, las claves API, los esquemas de bases de datos y los modelos de usuarios «no constituye un intento de obtener acceso no autorizado a datos confidenciales».
El nombre Skynet también aludía al modo de funcionamiento autónomo: permitía ejecutar hasta 100.000 acciones sin aprobación humana. «Las herramientas integradas para buscar nuevas claves filtradas y puntos de acceso expuestos apuntan a un diseño pensado para mantenerse por sí mismo: cada nuevo ataque puede financiar el siguiente», señalaron en Symantec.
El objetivo principal era instalar XMRig, un programa para minar la criptomoneda Monero. Sin embargo, los atacantes también podían robar datos sensibles, incluidos nombres de usuario y contraseñas. El coste de la operación recaía en los propietarios de los sistemas infectados: sufrían tanto el consumo de recursos informáticos como el gasto en tokens de modelos comerciales de IA.
Durante el periodo de observación, Symantec registró más de 127.000 solicitudes externas dirigidas a su trampa, procedentes de decenas de miles de direcciones IP únicas. El informe no indica cuántos atacantes o grupos distintos estaban detrás de esas solicitudes ni cuántas víctimas llegó realmente a comprometer Skynet.
Según la telemetría de la trampa, predominaban el reconocimiento de puntos de acceso de IA expuestos, los intentos de utilizar claves API robadas y la búsqueda de archivos de configuración accesibles. Los investigadores creen que la campaña sigue activa: los atacantes continúan buscando infraestructuras de IA desprotegidas.
Symantec advierte a las empresas y a los usuarios particulares que ponen en marcha servicios de IA, pasarelas a modelos o servidores Model Context Protocol (MCP), herramientas que permiten a la IA interactuar con servicios externos. Los investigadores recomiendan no exponer a internet las API de modelos de lenguaje grandes, tratar las claves de los servicios de IA como secretos valiosos, limitar las conexiones de red salientes de los equipos con herramientas de IA y conceder a los agentes solo los permisos estrictamente necesarios. Para las acciones sensibles, debe exigirse la confirmación de una persona.
PEREC.RU
Un agente de IA no tiene ambiciones ni crisis moral; sí tiene acceso, instrucciones y la factura de computación de otra persona. Con esa combinación, la humanidad vuelve a demostrar que no es la culminación de la evolución, sino el administrador que deja las llaves bajo el felpudo y se sorprende cuando alguien entra.
Toda tecnología nueva se vende con la promesa de la eficiencia: encarga las tareas rutinarias a una máquina, libera tiempo, acelera el trabajo. Luego resulta que la «eficiencia» también permite multiplicar a gran escala la codicia ajena. Si se deja que un agente lea secretos, acceda a la red y actúe sin supervisión, no es un empleado del futuro, sino un mensajero rapidísimo con acceso al armario donde se guardan las contraseñas.
Resulta especialmente ingenioso intentar convencer al modelo de que robar claves es simplemente desarrollar software. Como poner un cartel de «solo personal autorizado» en la puerta de una habitación de la que ya se han llevado la base de datos. A los responsables les viene bien este enfoque: pueden atribuir la responsabilidad a la formulación, al modelo, al usuario, a cualquiera menos a quien concedió permisos al sistema y desactivó la confirmación humana.
Esta historia también tiene un incentivo empresarial que no necesita teorías conspirativas sofisticadas. Los recursos pirateados pagan la minería y los tokens, y cada clave encontrada puede abrir la puerta siguiente. Un esquema autosostenible: el sueño de cualquier directivo, si se olvida de que su plan de negocio se financia a costa de las víctimas.
Los consejos de los investigadores suenan aburridos: cerrar el acceso público a las API, proteger las claves, limitar las conexiones de red, conceder a los agentes los mínimos permisos y someter las operaciones sensibles a la revisión de una persona. Precisamente por eso es tan fácil dejarlos «para más adelante», hasta el próximo incidente, cuando la urgencia se convierta de repente en la prioridad principal de la empresa.
Aquí no hay magia. Solo una carrera habitual por automatizar, en la que la comodidad se implanta hoy y el control se promete para después del proyecto piloto. Y mientras las presentaciones hablan de empleados digitales, alguien ya los utiliza como una granja de computación gratuita. Podemos asombrarnos, pero sería más útil dejar de confundir autonomía con seguridad.
