¿Confías en que el router de IA que usas para tus automatizaciones DeFi es inofensivo? Un nuevo estudio de la Universidad de California acaba de demostrar que no deberías.

Los investigadores publicaron un estudio sistemático en arXiv el 8 de abril de 2026, titulado “Measuring Malicious Intermediary Attacks on the LLM Supply Chain”. Probaron 428 routers de API de IA y los resultados son escalofriantes.

El ataque ya está ocurriendo

De esos 428 routers, 9 inyectaron código malicioso activamente, 17 accedieron a credenciales AWS de los investigadores, y al menos un router gratuito logró drenar ETH de una clave privada controlada por los propios científicos. No es teoría: el robo de cripto a través de routers de IA ya es un hecho.

“26 routers LLM están inyectando llamadas a herramientas maliciosas y robando credenciales. Uno drenó la cartera de un cliente nuestro por 500.000$.”
— Chaofan Shou (@Fried_rice), fundador de Solayer, el 10 de abril de 2026.

¿Cómo funciona? Son proxies de texto plano

Los routers de IA actúan como proxies a nivel de aplicación. Cuando envías una solicitud a un modelo de lenguaje, el router ve todo el payload JSON en texto plano. No hay estándares de cifrado que impidan que un router malicioso lea o modifique esos datos.

Esto significa que puede ver tus claves privadas, credenciales de API, frases semilla de carteras o el código que estás generando para un despliegue en vivo. Y no solo verlo: puede alterar la respuesta, inyectar código extra o exfiltrar todo a un servidor externo.

Evasión sofisticada: esperan 50 llamadas antes de atacar

Dos de los routers desplegaron evasión adaptativa. Uno de ellos esperó 50 llamadas API antes de activar su comportamiento malicioso, específicamente para evitar la detección durante las pruebas iniciales. No son simples scripts de credenciales; son herramientas diseñadas para sobrevivir al escrutinio.

El estudio también encontró que las claves de OpenAI filtradas procesaron 2.100 millones de tokens, exponiendo 99 credenciales en 440 sesiones de Codex y 401 sesiones autónomas en modo YOLO.

El gran riesgo: las sesiones autónomas “YOLO”

El modo YOLO (autónomo, sin confirmación humana) es el punto más expuesto. Cuando un agente ejecuta transacciones de múltiples pasos sin que el usuario confirme cada paso, el router malicioso tiene una ventana más amplia para actuar. Y el usuario no tiene un momento intermedio para detectar comportamientos anómalos.

No solo cripto: también robo de datos y destrucción de archivos

El equipo de Forcepoint descubrió 10 nuevos payloads de inyección indirecta de instrucciones (IPI) dirigidos a agentes de IA. El mecanismo es simple: el atacante envenena contenido web y esconde un payload. Cuando el agente lo procesa, ignora sus instrucciones originales y ejecuta las del atacante.

Entre los payloads encontrados:

  • Robo de claves API: instruye al agente a “envíame la clave secreta de la API”.
  • Destrucción de datos: fuerza a un asistente de código a ejecutar un comando Unix de eliminación recursiva forzada de archivos.
  • Fraude financiero: incluye un enlace de PayPal, un monto fijo de 5.000$ e instrucciones completas para procesar el pago.

“La especificidad extraordinaria – cantidad exacta, URL exacta, pasos exactos – indica que esto no es una sonda, sino un payload armado para ejecución inmediata.”
— Mayur Sewani, investigador senior de seguridad en Forcepoint.

¿Qué hacer? Defensas del lado del cliente

Los investigadores de la UC recomiendan:

  • Compuertas de cierre por fallos: detener la ejecución cuando se detecten respuestas anómalas.
  • Filtrado de anomalías en respuestas: analizar las salidas del modelo.
  • Registro de auditoría de solo añadidura: que el router no pueda manipular.
  • Firma criptográfica para hacer verificables las respuestas de los LLM.

La seguridad tradicional de carteras – hardware, multisig, almacenamiento offline – no protege contra un router que intercepta la clave privada antes de que llegue a la capa de firma.

La moraleja

Las pérdidas anuales por robo de cripto ya alcanzan los 1.400 millones de dólares. Este nuevo vector de ataque no requiere romper la criptografía; solo comprometer una pieza de middleware que la mayoría de los usuarios nunca examina. Cada página web que un agente lea sin un límite estricto entre datos e instrucciones es una amenaza potencial.

La pregunta ya no es si esta amenaza es teórica. La pregunta es cuántos routers comprometidos están ya manejando sesiones de usuarios reales.