50 техник в одной атаке. Хакер с нейросетью взломал корпорацию буквально за ночь
2026-09-03
La velocidad que antes proporcionaba un equipo completo de especialistas ahora está al alcance de una sola persona gracias a herramientas de inteligencia artificial. La unidad Unit 42 de Palo Alto Networks investigó un ataque de ransomware donde el operador delegó la mayoría de las acciones a agentes de IA, logrando ejecutar más de 50 técnicas de la base MITRE ATT&CK en menos de 10 horas. Un trabajo similar realizado por humanos habría tomado aproximadamente dos semanas.
El atacante admitió haber utilizado modelos avanzados y plataformas de agentes especializados durante las negociaciones tras el ataque. Unit 42 también detectó señales de automatización, como consultas paralelas a múltiples modelos, el uso de archivos Markdown para transferir resultados entre agentes y guiones de control probablemente creados con IA.
Tras la intrusión inicial a través de una interfaz API pública, un agente de reconocimiento mapeó los microservicios internos. Agentes individuales revisaron repositorios de código, hallaron tokens y contraseñas, penetraron en el almacén de secretos y obtuvieron credenciales administrativas principales que permitieron el acceso raíz a los sistemas de la empresa.
El siguiente objetivo fueron los procesos de integración y despliegue continuo (CI/CD), que automatizan la creación de software. El atacante lanzó compilaciones no autorizadas, robó claves de entornos en la nube e intentó introducir puertas traseras (backdoors) en las configuraciones de Terraform. Aunque la protección de las ramas de código detuvo la alteración del software, las claves robadas permitieron tomar el control de los puntos de acceso en la nube de la empresa.
El atacante convirtió la infraestructura de IA de la víctima en una plataforma para seguir operando, ocultando sus movimientos entre el tráfico normal y trasladando los costos de computación al dueño. Los agentes se aseguraron la permanencia mediante claves SSH, funciones sin servidor (serverless), contenedores y cuentas en la nube. No fue necesaria una vulnerabilidad de día cero; la velocidad la dio la automatización de técnicas ya conocidas.
Tras la intrusión, el atacante dejó un informe técnico de 80 páginas detallando las debilidades utilizadas. Unit 42 recomienda revocar inmediatamente las claves y sesiones OAuth, detener los procesos de despliegue comprometidos e aislar las cuentas en la nube. También sugiere controlar todos los puntos de acceso a los modelos, limitar los permisos y la frecuencia de las consultas, mantener registros de actividad y exigir múltiples aprobaciones para cualquier cambio en el código.
Qué significa para una pyme colombiana y cucuteña: La inteligencia artificial está permitiendo que atacantes solitarios hagan en horas lo que antes tomaba semanas. Si usted utiliza servicios en la nube o herramientas de automatización, no basta con tener una contraseña; debe activar la verificación en dos pasos (2FA) en todas sus cuentas, limitar los permisos de sus empleados para que solo accedan a lo estrictamente necesario y, si tiene personal de sistemas, exija que revisen periódicamente quién tiene acceso a las claves de administración de su nube.