99 scripts en un día: agentes de IA aprenden a buscar maneras de hackear y a corregir sus propios errores

Los agentes de IA ya realizan ciberataques casi sin intervención humana: escriben programas por sí mismos, buscan rutas de intrusión y corrigen sus propios errores. Investigadores de Wiz analizaron tres intrusiones reales y encontraron huellas características de trabajo automatizado que ayudan a distinguirlo de las acciones de hackers convencionales.

En el primer caso, los atacantes accedieron a un servidor de Flowise accesible desde internet, una plataforma para crear aplicaciones de IA. Al eludir la verificación de acceso, los atacantes pudieron ejecutar comandos del sistema. Luego convirtieron el servidor comprometido en una base para atacar a decenas de otras instancias de Flowise.

En 24 horas los atacantes crearon 99 scripts distintos. Aparecían nuevos programas cada uno o dos minutos, comprobaban la disponibilidad de los objetivos y decidían las acciones siguientes. El código conservó planes detallados en lenguaje natural, y un programa explicaba directamente por qué la versión anterior verificaba mal las claves API y cómo corregir el error.

Wiz observó el segundo ataque tras el compromiso de una pasarela corporativa basada en Java. En cuatro horas y media los atacantes realizaron 602 pasos únicos, comprobando 12 vectores de ataque. Entre los objetivos estaban Kubernetes, RabbitMQ, ArgoCD y servicios internos. Las solicitudes fallidas no detenían el proceso: las herramientas cambiaban de táctica y probaban otras rutas.

En el tercer caso, el punto de entrada fue un servicio GraphQL de un agente de IA con interfaz MCP. Los atacantes lograron ejecutar comandos, robaron credenciales en la nube y tokens de Kubernetes, se afianzaron en el sistema y propagaron el ataque a varios contenedores. En 21 horas aparecieron más de 150 scripts, y los archivos hallados contenían 803 líneas de comentarios explicativos.

Particularmente notable fue un registro en el que el ejecutor comparaba sus resultados con los de "otro agente". En los comentarios se analizaban intentos fallidos de acceso a la base de datos y las causas de las diferencias entre ejecuciones. Esa huella no demuestra la autonomía total de la operación, pero indica claramente la participación de un sistema de agentes en las acciones técnicas.

Wiz identificó siete signos de este tipo de ataques. Entre ellos: funcionamiento continuo con ritmo variable, explicaciones detalladas en los scripts, autocorrección de errores, prueba de múltiples métodos de intrusión y un gran número de archivos temporales. Ese tipo de acciones complementa los escenarios ya conocidos de ataques con agentes que utilizan herramientas confiables.

El informe también recoge casos con las herramientas ARTEX y Hermes. En particular, el grupo Storm-0940 utilizó ARTEX para acelerar ataques contra clientes de ConnectWise Cloud Backup. En el estudio de Wiz se subraya que el nivel de autonomía varía entre episodios y que algunas conclusiones se basan en indicios indirectos.

La velocidad no siempre implica sigilo. Los agentes prueban decenas de variantes, crean archivos innecesarios y dejan registros detallados de actividad. Los defensores deben correlacionar eventos dispersos en sistemas en la nube y bloquear más rápidamente la actividad sospechosa. Al mismo tiempo, la automatización de ataques ya permite a los atacantes comprobar simultáneamente muchos más objetivos.