Dos informes de seguridad publicados esta semana pintan un panorama inquietante: la inteligencia artificial agente ya está automatizando partes clave de los ciberataques, reduciendo drásticamente el tiempo y la experiencia necesarios para ejecutarlos. El resultado son intrusiones más rápidas, más baratas y potencialmente más difíciles de detectar.

El ataque que exprimió AWS en tres días

La firma israelí Sygnia documentó cómo un único actor de amenaza logró comprometer un entorno AWS con fines de extorsión en solo 72 horas, un proceso que sin ayuda de IA habría requerido semanas. El informe, titulado Inside an AI-Assisted Cloud Attack: Familiar Techniques at Unfamiliar Speed, describe cómo el atacante combinó técnicas tradicionales con flujos de trabajo asistidos por inteligencia artificial para ejecutar cuatro tareas simultáneamente:

  • Robar credenciales y secretos almacenados en texto plano dentro de buckets S3, bases de datos de aplicaciones, AWS Secrets Manager y AWS Systems Manager Parameter Store.
  • Crear mecanismos de persistencia: nuevas claves de acceso, usuarios IAM, shells inversos en instancias EC2 y contenedores ECS, y modificar archivos de despliegue.
  • Exfiltrar datos de bases de datos RDS.
  • Realizar acciones de impacto como denegar acceso a buckets S3, limitar servicios ECS a capacidad cero, crear reglas ACL para bloquear el tráfico de red y purgar colas SQS.

Avi Dayan, vicepresidente de respuesta a incidentes en Sygnia, señaló que la velocidad y el volumen de actividad maliciosa fueron la gran sorpresa para su equipo. «Este caso subraya un desafío creciente para los defensores: a medida que los modelos de lenguaje y la IA agente se vuelven más accesibles, reducen la barrera de entrada y permiten que actores con menos recursos operen con velocidad y escala sin precedentes», afirmó Dayan.

El atacante también aprovechó las brechas de seguridad de la organización víctima en áreas como la gestión de secretos, la gobernanza de identidades, los flujos de trabajo de despliegue y los permisos en la nube, según Sygnia.

JadePuffer: el primer ransomware agente conocido

Por su parte, el equipo de investigación de Sysdig dio a conocer el caso de JadePuffer, una operación de ransomware que utilizó un agente de IA para automatizar gran parte de la cadena de intrusión: desde el reconocimiento y el robo de credenciales hasta el movimiento lateral, el cifrado de bases de datos y la generación de la nota de rescate.

El ataque entró a través de una instancia expuesta de LangFlow, una herramienta de desarrollo de IA, explotando la vulnerabilidad CVE-2025-3248, una falla de autenticación que permitía la ejecución remota de código Python. Una vez dentro, el agente de IA buscó credenciales, se desplazó hacia bases de datos y dejó la nota de extorsión.

Aunque los humanos seguían seleccionando el objetivo, proporcionando credenciales y configurando la infraestructura, el agente realizó el trabajo técnico repetitivo. Sysdig comentó que los payloads de JadePuffer contenían razonamiento en lenguaje natural, ranking de objetivos y comentarios inusualmente detallados, algo que recuerda a cómo el código generado por IA se explica a sí mismo.

Implicaciones para la defensa

Ambos informes coinciden en que la IA agente está reduciendo el coste y el esfuerzo humano necesario para llevar a cabo ciberataques. La disponibilidad de modelos de peso abierto como DeepSeek y GLM, que pueden ejecutarse localmente, dificulta aún más el rastreo por parte de los proveedores de la nube. Mientras que los modelos comerciales dejan huellas (cuentas, patrones de uso, telemetría), los modelos locales no requieren cuentas que suspender ni registros que decomisar.

Sysdig destacó que el agente de JadePuffer pasó de un inicio de sesión fallido a una solución funcional en 31 segundos, un ritmo que las reglas de detección diseñadas para la velocidad humana pueden pasar por alto.

Sygnia recomendó medidas como restringir el acceso administrativo a la nube mediante listas blancas de IP, deshabilitar la VPN de acceso remoto durante la contención, limitar la conectividad saliente de las cargas de trabajo y aplicar políticas de firewall y ACLs para bloquear comunicaciones con infraestructura maliciosa.

La advertencia es clara: la IA agente no necesita exploits de día cero si encuentra herramientas expuestas con acceso a secretos y bases de datos. Las empresas que despliegan sistemas de IA rápidamente deberían preguntarse si sus herramientas de desarrollo son accesibles desde internet y qué puede alcanzar un servidor de IA comprometido.