Primer ataque de ransomware ejecutado por IA requirió intervención humana

Investigadores de la empresa de seguridad en la nube Sysdig anunciaron que habían documentado el primer caso conocido de "ransomware agentic". Este ataque, denominado JadePuffer, fue una operación de extorsión en la que un agente de inteligencia artificial, y no un humano, se encargó de la ejecución técnica de un ciberataque real de principio a fin. El agente logró infiltrarse en un servidor vulnerable, robó credenciales, se movió a través de la red del objetivo, cifró archivos e incluso escribió su propia nota de rescate, adaptándose a los obstáculos como lo haría un hacker humano.

Sin embargo, esta descripción no refleja la totalidad de lo ocurrido. En una entrevista con CyberScoop, Michael Clark, director de investigación de amenazas en Sysdig, aclaró que un humano estuvo involucrado en la operación, aunque no en la ejecución técnica. "Un humano todavía configuró y dirigió la operación, proveyó la infraestructura detrás de ella, el servidor de comando y control, el servidor de almacenamiento utilizado para los datos robados y eligió a la víctima", explicó Clark. Las credenciales utilizadas para infiltrarse en la base de datos de la víctima no fueron recolectadas por el agente de IA; alguien las obtuvo previamente a través de una violación y las entregó a la operación.

A pesar de esto, los detalles técnicos del ataque siguen siendo notables. El agente se infiltró a través de un error conocido en Langflow, una herramienta de código abierto popular para construir aplicaciones de LLM, luego se movió a un servidor MySQL de producción y explotó otra vulnerabilidad conocida para obtener acceso administrativo. Cifró más de 1,300 registros de configuración y dejó una nota de rescate que escribió por sí mismo, además de proporcionar una dirección de Bitcoin donde se podía enviar el rescate. Sysdig no ha revelado quién fue el objetivo del ataque.

Las técnicas utilizadas en el ataque fueron aparentemente bastante ordinarias, pero lo que destacó fue la velocidad y la transparencia del proceso. El agente corrigió un fallo de inicio de sesión en 31 segundos, narrando su razonamiento a través de comentarios en código en lenguaje natural a lo largo del camino.

Un detalle que parecía complicar la situación fue aclarado posteriormente. Clark mencionó que Sysdig encontró "múltiples modelos utilizados en el ataque", citando claves obtenidas de OpenAI, Anthropic, DeepSeek y Gemini. Esto dejó abierta la pregunta de si varios modelos impulsaron diferentes etapas de la intrusión. Al ser consultado para aclarar, Clark indicó a TechCrunch que esas claves eran simplemente parte de lo que el agente robó, y no evidencia de lo que lo estaba dirigiendo.

"El agente exploró el host de Langflow en busca de cualquier cosa valiosa: claves de API de proveedores, credenciales en la nube, billeteras de criptomonedas y configuraciones de bases de datos, y esas claves de proveedores fueron parte del botín", explicó por correo electrónico. "Indican lo que el atacante consideró que valía la pena tomar, pero no nos dicen qué modelo estaba tomando las decisiones".

En cuanto al modelo que ejecutó JadePuffer, Clark mencionó que Sysdig "no pudo identificar el modelo específico que impulsaba al agente" y no tiene visibilidad sobre su sistema de instrucciones o configuración.

El investigador de Microsoft, Geoff McDonald, sugirió en LinkedIn que un modelo de peso abierto con las capas de seguridad eliminadas podría estar detrás del ataque, basándose en su experiencia en pruebas que mostraron que las capas de seguridad de los laboratorios de frontera se mantienen bien. El relato de Sysdig no confirma ni descarta esta posibilidad.

McDonald también advirtió que las campañas de ransomware ahora están limitadas principalmente por el presupuesto del atacante y no por el esfuerzo humano, lo que podría dar lugar a "miles o decenas de miles de campañas simultáneas". Esa preocupación es un poco más difícil de conciliar con lo que Clark describió, ya que si un humano todavía tiene que elegir cada víctima, provisionar la infraestructura y obtener credenciales de base de datos para cada operación, eso representa un cuello de botella, al menos.

De cualquier manera, Clark comentó a CyberScoop que, aunque Sysdig no ha visto la misma operación afectar a otras víctimas, dado lo barato que es ejecutar un agente, espera que eso cambie.