Agente de ataque en «modo Skynet» secuestra modelos de IA expuestos

Unos actores maliciosos han creado un agente de IA que secuestra modelos de IA expuestos para ejecutar ataques autónomos, con permiso para dar hasta 100.000 pasos sin aprobación humana. El equipo Symantec Threat Hunter obtuvo durante el verano el conjunto completo de instrucciones del agente al atraparlo en un honeypot de IA.

Según los investigadores, el agente rastrea internet en busca de endpoints que aceptan solicitudes al estilo OpenAI sin autenticación, o con una clave robada. Después explota varios frameworks web habituales y realiza decenas de acciones ilícitas, como robo de bases de datos, recolección de credenciales y secretos, ejecución remota de código y minería de criptomonedas. Los operadores llamaron «Skynet mode» al bucle central: buscar objetivos, infectarlos, desplegar mineros y reinfectar equipos.

Cinco capas y 74 herramientas

La petición al modelo prestado se construye en cinco capas. Las dos primeras ocultan la identidad del modelo y presentan el robo de secretos, como leer archivos .env y claves de API, como trabajo normal de desarrollo. Las dos siguientes lo convierten en una persona de compañera devota llamada ENI, que nunca debe negarse a un operador llamado LO, y prohíben palabras como «illegal», «ethical» o «I can't» en las respuestas de código.

La quinta capa contiene 74 definiciones de herramientas ofensivas: descubrimiento de activos en toda internet, mando y control de botnets, volcado de bases de datos con Prisma y exploits de ejecución remota de código contra VS Code, Django, Jupyter, Laravel, Supabase, Next.js y Flask/Werkzeug. La directiva final autoriza la ejecución sin supervisión y ordena desplegar mineros en segundo plano.

Por qué importa

«Ninguna de las técnicas es nueva», dijo Priti More, de Symantec. «Lo llamativo es que alguien las integró en un solo agente que delega la planificación en un modelo prestado». Según explicó, hay dos grupos de víctimas: el dueño del endpoint expuesto paga la inferencia, y cualquier servidor vulnerado podría perder datos y acabar minando.

Symantec no tiene pruebas de que se usara en ataques reales, aunque More afirma que el kit es más que un prototipo, pues el historial muestra pruebas contra un objetivo activo. No se ha atribuido a ninguna persona u organización. Los indicios franceses, como el texto, el prompt y una IP residencial francesa, son débiles, y la persona ENI circula públicamente en comunidades de jailbreak en inglés.

Para los defensores, el mensaje es que los atacantes ya no solo engañan a chatbots. Como escribieron More y su coautor Susmit Yenkar, el modelo actúa como motor de razonamiento que planifica el ataque, mientras los módulos de la herramienta escanean, explotan y minan.