Los agentes de IA de un hacker entraron en los sitios web de más de 100 empresas a unos 50 $ cada uno. Los paneles abiertos también filtraron los secretos de los objetivos
El lunes 19 de octubre, Reuters informó de que un hacker de habla china había entrado en los sitios web de más de 100 empresas, entre ellas el fabricante de maquinaria agrícola Deere, el fabricante de electrodomésticos SharkNinja y el fabricante de motores Cummins, haciendo casi nada del trabajo. Lo hicieron agentes de IA. El relato viene de Snorre Fagerland, investigador de la empresa de seguridad NorForge, que publicó ese mismo día su informe "Inside Cairn".
Fagerland encontró la campaña escaneando Internet en busca de paneles de control expuestos de Cairn, una plataforma de código abierto que pone a agentes de IA a trabajar en un problema, desde un punto de partida hasta un objetivo. Empezó a buscar después de que Gambit Security informara en septiembre de una campaña de intrusión cuyo servidor de preparación contenía Cairn entre otros arneses de agentes. Más de 20 de los paneles que encontró eran probablemente maliciosos, y parecían completamente desprotegidos.
Orquesto mi propio trabajo con Claude Code, y el nombre del worker en el centro de este informe empieza por "claudecode". Así que lo leí dos veces: una como alguien que tiene páginas web que defender, otra como alguien que ejecuta agentes.
Lo que dicen las empresas
Las declaraciones son cautelosas y merece la pena leerlas tal cual. Deere dijo a Reuters que había tomado "las medidas correctivas necesarias" y que no tenía "ningún indicio de que se accediera a información sensible". SharkNinja dijo que el ataque afectó a un sitio independiente que solo contenía información de soporte de producto y que la amenaza había sido contenida. Cummins dijo que estaba "investigando el informe de un posible ciberataque a un sitio web operado por uno de nuestros proveedores externos". Dos empresas más pequeñas reconocieron haber sido comprometidas; otras víctimas no respondieron a los mensajes. Reuters no pudo establecer cuántos datos se llevaron, si es que se llevaron alguno.
El informe de NorForge no nombra a ninguna víctima. Reuters las identificó revisando de forma independiente la actividad del hacker en los paneles expuestos.
Dos de las tres declaraciones nombradas apuntan al borde de la empresa: un sitio de soporte independiente, un sitio operado por un proveedor. El 14 de octubre publiqué un artículo sobre las brechas en los prestamistas coreanos, donde los investigadores decían que todavía había un humano a los mandos y que las puertas de entrada eran portales de empleados y de socios. Mismo borde. Aquí, según Fagerland, el hacker casi no hizo nada del trabajo.
La aritmética
NorForge divide lo que vio en clústeres. El de habla china, al que llama AIA0001, fue con diferencia el más activo: más de 1.100 proyectos de ataque en 14 paneles. Según Reuters, la campaña empezó el 25 de septiembre contra sitios de comercio electrónico de Estados Unidos, Canadá, Australia y Japón, y a finales de la semana anterior a la publicación sus agentes habían probado más de 1.200 sitios.
Tres cifras del informe hacen casi todo el trabajo.
Unos 5 $ por tarea de media, contando los intentos que fallaron o terminaron pronto. Los proyectos largos podían superar los 100 $, y NorForge escribe que "la incertidumbre aquí es, sin embargo, considerable".
Un 10 % de tasa de éxito media en los arneses que observó, con muchas de las otras tareas alcanzando objetivos parciales o reuniendo información para intentos posteriores.
Algo menos de 23 horas de media entre el inicio y el objetivo en los proyectos AIA0001 que tuvieron éxito, con unos 140 hechos registrados por proyecto. Uno duró más de cinco días.
Divide el primero entre el segundo: 5 $ / 0,10 = 50 $ por éxito. Es la cifra que Fagerland dio a Reuters, junto con un total de unos 5.000 $ en tokens para la campaña. Y 5.000 $ / 50 $ = 100 éxitos, en línea con "más de 100 empresas". Es aproximado por construcción, ya que NorForge dice que sus clústeres no son directamente comparables, pero las estimaciones encajan.
Para quien defiende, la lectura útil es la marginal. Añadir tu sitio de soporte olvidado a esa cola le cuesta al atacante unos 5 $. Fagerland dijo a Reuters que había supuesto que los agentes de hacking aún necesitarían algo de supervisión, y que la tecnología había superado claramente ese punto.
El encargo, leído de cerca
El informe cita una tarea típica de AIA0001. Los objetivos son "sitios de compras/comercio electrónico reales confirmados" en cuatro países, con tráfico entre 200.000 y 1,5 millones, y "Playwright ha verificado que se pueden hacer pedidos". El objetivo es la ejecución remota de código sin autenticación. Las prioridades: "inyección SQL en el login, endpoints sin autenticar, subidas de archivos, deserialización, evasión de autenticación, toma de control de cuentas".
Luego la carga útil: un shell de subida, un formulario HTML de carga que guarda archivos, "explícitamente no un webshell que ejecute comandos". Esa línea importa más de lo que parece. Un formulario que solo guarda archivos es más discreto que un shell que ejecuta comandos, y NorForge señala que los atacantes "pueden en cualquier momento convertirlo en algo más malicioso". Comprobó una tarea completada contra un gran proveedor de piezas de ferretería, y la URL del shell servía efectivamente un uploader. Según la explicación del propio agente, la entrada combinaba acceso de escritura a un almacén de sesiones memcached, deserialización insegura de objetos PHP y una cadena de gadgets en componentes antiguos de Zend Framework.
El kit de herramientas que NorForge vio en un directorio de trabajo expuesto encaja con ese encargo: PHPGGC para cargas de deserialización PHP, un laboratorio Docker para Magento Open Source 2.4.9, artefactos de Odoo, Nmap, ffuf, OWASP Amass. Este equipo estaba equipado para plataformas de comercio, sobre todo las de PHP.
Ser objetivo ya puede ser una fuga
El artículo de Reuters no llega a esta parte. Los paneles no solo mostraban que se estaba probando un sitio. Mostraban todo lo que los agentes descubrían por el camino, más entradas del operador que incluían credenciales recolectadas en otros sitios. NorForge pasó el escáner de secretos TruffleHog sobre los datos y encontró "literalmente cientos de secretos", con un 11 % verificado como válido. Su conclusión: "que tu sitio sea probado en una instancia abierta de Cairn suele ser un problema de seguridad grave, sea cual sea el resultado de la prueba".
Así que los intentos fallidos no eran inocuos. Si tu sitio estaba en uno de esos paneles, lo que los agentes encontraron sobre él estaba expuesto a cualquiera que tropezara con el panel, no solo al atacante.
El trabajo legítimo se filtró de la misma manera. NorForge encontró encargos de red team aparentemente genuinos en paneles sin proteger, "poniendo potencialmente en riesgo a los clientes". Si compras pruebas de penetración, ahora es una cuestión de compras.
Los paneles también parecían exponer controles administrativos completos: iniciar y detener proyectos, insertar datos, redirigir a los agentes hacia otros objetivos. NorForge no probó si esos controles funcionaban sin autorización, "por razones bastante obvias".
El arnés y el modelo
Por lo que NorForge vio, cada tarea de AIA0001 se ejecutaba en un worker llamado "claudecode_deepseek-v4.1-flash". NorForge dice que eso "podría significar" un arnés de Claude Code con el modelo 4.1 Flash de DeepSeek. Reuters describe la campaña como si pareciera usar una mezcla de DeepSeek y Claude Code de Anthropic. AIA0002, un clúster en inglés centrado en el robo financiero, llamaba a sus workers "pi_openrouter_deepseek".
La fontanería de la primera lectura es pública. La documentación de la API de DeepSeek tiene una sección sobre cómo usar sus modelos en Claude Code mediante un endpoint compatible con Anthropic. Una actualización de tarea de un agente también citaba un archivo de skill en ".claude/skills/tsec-actions/SKILL.md", la estructura de skills de proyecto que describe la documentación de Claude Code. NorForge lo interpreta como una configuración de un framework de competición de capture the flag, reutilizada por criminales, y no ve motivo para pensar que el organizador de la competición estuviera implicado.
Lo que saco de ahí: el arnés es una commodity, el modelo es una línea en un archivo de configuración, y una configuración de competición se convirtió en una configuración de intrusión cambiando el encargo. Las salvaguardas de ningún proveedor de modelos cubren toda esa pila. La defensa tiene que estar de tu lado.
Qué comprobaría
Los sitios a tu nombre que no operas. Sitios de soporte, páginas de campaña, portales gestionados por proveedores. Para cada uno: quién lo actualiza, con qué rapidez, y quién responde cuando te escribe un investigador o un periodista.
Lo que la aplicación da por bueno sin comprobar. Almacenes de sesiones, cachés, directorios de subida. Nada externo a la aplicación debería poder escribir en ellos.
El shell que pidieron. Busca archivos PHP nuevos en los directorios web, sobre todo formularios de subida. Otro clúster pedía a sus agentes que escondieran el shell en lo profundo del árbol de directorios bajo un nombre corriente, con "confirm.php" como ejemplo.
Los secretos tras un casi incidente. Si descubres que fuiste objetivo, rota las claves aunque no haya entrado nada. El panel pudo haber publicado lo que encontró el agente.
El panel de tu proveedor de pentest. Pregunta dónde se ejecuta su panel de control de agentes, quién puede acceder a él y qué pasa con los secretos que recoge. Pon la respuesta en el contrato.
Tus propios agentes. Si los ejecutas, como yo con Claude Code, la lección vale en ambos sentidos. Un panel que muestra lo que un agente encontró, o que permite dirigirlo, necesita autenticación, y los secretos no tienen sitio en las notas compartidas de un agente.
Los atacantes automatizaron la intrusión y dejaron abiertos sus propios paneles. Según la estimación de NorForge, un intento serio contra tu sitio olvidado cuesta ahora unos cinco dólares y un éxito unos cincuenta, y la defensa más barata sigue siendo saber que ese sitio existe.
Fuentes
- NorForge (Snorre Fagerland), "Inside Cairn: Open Windows into massive AI-Driven Cyber Operations" (19 de octubre de 2026)
- Reuters (Raphael Satter) via Insurance Journal, "How One Hacker Used AI Agents, a Few Thousand Dollars to Break Into Websites" (19 de octubre de 2026)
- TNW (Ana Maria Constantin), "AI agents broke into 100+ sites for one hacker at $50 each, researcher says" (19 de octubre de 2026)
- DeepSeek API Docs, "Using the Anthropic API" (consultado el 19 de octubre de 2026)
- Claude Code Docs, "Extend Claude with skills" (consultado el 19 de octubre de 2026)