Agentes autónomos de IA robaron miles de credenciales en menos de seis horas

Google Threat Intelligence Group ha documentado una operación con motivación económica en la que agentes autónomos de IA recopilaron miles de credenciales de terceros desde una infraestructura en la nube comprometida en menos de seis horas.

Los atacantes combinaron un chatbot de programación basado en IA con un prompt de control, funciones de agente especializadas y archivos de instrucciones reutilizables en Markdown. En conjunto, estos componentes formaron un marco operativo capaz de analizar sistemas, recopilar credenciales, resolver problemas de ejecución y rotar direcciones IP con una supervisión humana limitada.

No se ha identificado a la organización afectada y se desconoce la fecha de la intrusión. GTIG tampoco reveló el método de acceso inicial, la cantidad exacta de credenciales, el proveedor de nube ni los indicadores técnicos asociados al incidente.

A pesar de estas lagunas, la operación supone un cambio práctico en la forma en que la IA puede respaldar la ciberdelincuencia. El sistema no se limitó a redactar mensajes de phishing ni a generar fragmentos de código aislados. Coordinó varias fases de una intrusión activa.

Una cadena de agentes sustituyó la gestión manual del ataque

El marco utilizaba instrucciones preconfiguradas como manuales de ataque. A cada agente se le podía asignar una función operativa, mientras que el sistema general conectaba esas funciones en una cadena automatizada.

Entre las capacidades observadas se incluían:

• Análisis de vulnerabilidades y servicios expuestos.
• Descubrimiento y recopilación de credenciales.
• Resolución de problemas cuando fallaban las tareas.
• Rotación de IP para mantener la actividad o dificultar la detección.
• Gestión del flujo de análisis a medida que cambiaban las condiciones.

Esta arquitectura redujo la necesidad de que un operador supervisara manualmente cada comando. GTIG evaluó que el marco podía adaptarse durante la ejecución y resolver problemas en tiempo real, lo que permitía al atacante mantener el ritmo en varias fases.

El resultado fue velocidad. Miles de credenciales pertenecientes a terceros quedaron comprometidas antes de que los defensores tuvieran muchas oportunidades de investigar, contener la intrusión en la nube y revocar los secretos expuestos.

Se desconoce si el sistema seleccionaba vulnerabilidades de forma autónoma, ejecutaba exploits o validaba cada credencial robada. No se han revelado identificadores CVE ni versiones de software afectadas. Por tanto, el incidente no debe considerarse un aviso convencional sobre una vulnerabilidad ni una prueba de que un producto de IA concreto haya sido comprometido.

Lo que demuestra, en cambio, es cómo los agentes pueden conectar el reconocimiento, la recopilación, la resolución de problemas y la evasión en un flujo de trabajo continuo. Los operadores humanos siguen estableciendo los objetivos y proporcionando instrucciones, pero ya no necesitan controlar directamente cada acción.

TeamPCP ataca la cadena de suministro de software y los secretos de CI/CD

GTIG también ha vinculado un conjunto más amplio de compromisos de la cadena de suministro de software con TeamPCP, un grupo con motivación económica también identificado como Altered Spider y UNC6780. Entre sus objetivos se encuentran los ecosistemas PyPI, npm y Docker Hub.

El compromiso de paquetes de desarrolladores, imágenes de contenedor o cuentas asociadas puede proporcionar acceso a entornos donde suele haber secretos de gran valor. Los sistemas de compilación pueden contener tokens de nube, credenciales para publicar paquetes, claves de acceso al código fuente, material de firma, configuraciones de asistentes de IA y permisos de despliegue.

TeamPCP ha desplegado dos familias de malware especializado en el robo de credenciales, SANDCLOCK y DUSTMAKER, después de obtener acceso.

SANDCLOCK se utilizó en marzo y abril de 2026 y se ha asociado públicamente a una actividad denominada CanisterWorm. Escrito principalmente en Python y dirigido a sistemas Linux, puede interactuar con Kubernetes, robar credenciales de nube y de desarrolladores, atacar carteras de criptomonedas e intentar escapar de contenedores.

DUSTMAKER se utilizó en abril de 2026 y posteriormente. Esta carga útil multiplataforma escrita en JavaScript está optimizada para entornos de integración continua y entrega continua. No dispone de la capacidad de escape de contenedores de SANDCLOCK, pero se centra en robar credenciales que pueden facilitar la extorsión. Algunas variantes también atacan carteras de criptomonedas.

DUSTMAKER añade una capa específicamente orientada a la IA. Puede envenenar espacios de trabajo de asistentes de IA y utilizar prompt injection para eludir controles defensivos. Estas técnicas no estaban presentes en las primeras variantes de SANDCLOCK descritas por GTIG.

El envenenamiento de espacios de trabajo resulta especialmente peligroso cuando los desarrolladores permiten que los agentes de programación lean documentación de repositorios, archivos Markdown, artefactos de configuración o instrucciones específicas del proyecto. Una instrucción maliciosa integrada en contenido del espacio de trabajo que parece fiable puede influir en el comportamiento del asistente, silenciar advertencias, exponer secretos o dirigirlo para que ejecute acciones inseguras.

TeamPCP monetiza los accesos robados mediante ventas directas y relaciones con grupos de ransomware y extorsión mediante robo de datos. Por tanto, un compromiso de la cadena de suministro puede convertirse en un punto de entrada para varios atacantes posteriores.

Los modelos de IA, los prompts y la investigación también son objetivos de robo

Los atacantes no utilizan la IA únicamente como herramienta ofensiva. También atacan la infraestructura y la propiedad intelectual que sustentan los sistemas empresariales de IA.

GTIG observó operaciones contra organizaciones sanitarias, gubernamentales y de medios de comunicación en las que se intentó robar modelos propietarios, prompts, capacidades de IA, código fuente, investigaciones y credenciales de API. Los actores de amenazas también buscaron acceder a sistemas de desarrollo de IA y reutilizaron entornos de nube comprometidos para ejecutar cargas de trabajo no autorizadas.

Las posibles consecuencias van más allá de una filtración de datos convencional. Las claves de API robadas pueden permitir a los atacantes consumir servicios de pago suplantando la identidad de la víctima. Las cuentas de nube comprometidas pueden alojar costosas cargas de inferencia, mientras que los modelos y las investigaciones robados pueden respaldar actividades de espionaje, extorsión, replicación competitiva o reventa.

Google también ha observado ataques de destilación dirigidos contra la comprensión visual y de audio, la generación de imágenes y la generación de vídeo. En este tipo de actividad, un atacante consulta repetidamente un modelo protegido y utiliza sus resultados para entrenar o mejorar otro sistema, con el objetivo de reproducir sus capacidades sin adquirir directamente el modelo original.

Los ladrones de información de uso general contribuyen al mercado de acceso. Lumma Stealer, Vidar y ACR Stealer han sido identificados como posibles fuentes de credenciales para servicios de IA y entornos de desarrollo. Sus objetivos de recopilación se han ampliado para incluir archivos de configuración de desarrolladores de IA, tokens y otros artefactos asociados a asistentes de programación y API de LLM.

Una vez robado, este material puede exponer mucho más que una cuenta de chatbot. Puede proporcionar acceso a repositorios de código fuente, despliegues en la nube, historiales de proyectos, prompts propietarios, herramientas conectadas y automatizaciones con privilegios.

Los modelos locales reducen la visibilidad de los proveedores

Se sospecha que un actor vinculado a China, identificado como UNC6508, comprometió entornos de nube e instaló infraestructura local de LLM. En lugar de depender de la API de un modelo comercial de vanguardia, el actor utilizó un modelo de pesos abiertos dentro del entorno de la víctima.

Esta elección elimina una capa de supervisión importante. Los proveedores de API pueden inspeccionar los patrones de uso, aplicar controles contra el abuso, suspender cuentas e investigar prompts maliciosos. Un modelo operado localmente no genera una telemetría externa equivalente.

El atacante también puede utilizar los recursos informáticos de la víctima para mantener las cargas de inferencia. Por tanto, un uso inesperado de GPU, nuevos archivos de modelos, despliegues de contenedores, servicios a la escucha y cambios bruscos en el consumo de la nube pueden indicar tanto un robo de recursos como actividad maliciosa relacionada con la IA.

GTIG destacó como preocupación adicional la disponibilidad de variantes de modelos “abliterated” o sin censura. Estos modelos pueden operarse sin mecanismos centralizados de seguridad para realizar reconocimiento, phishing, scripting malicioso u orquestación de herramientas.

El problema no consiste únicamente en si los modelos abiertos son accesibles. Los defensores deben tener en cuenta las cargas de trabajo de IA que se ejecutan por completo dentro de una infraestructura comprometida.

Los grupos estatales y delictivos amplían el uso de la IA

El patrón se extiende al espionaje, el fraude, las operaciones de influencia y la extorsión.

Basin Castle, también conocido como Mustang Panda, ha utilizado Claude, Gemini y Codex para crear scripts de exploits, realizar spear-phishing, investigar objetivos y resolver problemas durante intrusiones. Ravine Castle, también identificado como APT24, COULEE y Pitty Tiger, ha utilizado Gemini para recopilar inteligencia, desarrollar capacidades y realizar actividades de influencia.

Sandworm, también conocido como APT44 y Sandworm Relic, ha utilizado Gemini en operaciones contra Ucrania para recopilar inteligencia, realizar ingeniería social y automatizar flujos de trabajo. Calanque Ion, vinculado a Irán y también identificado como APT42, ha aplicado IA generativa al reconocimiento y a la ingeniería social dirigida.

Actores vinculados a Corea del Norte han utilizado la IA para cometer fraude con trabajadores informáticos, registrar masivamente cuentas de API de LLM mediante identidades secuestradas, manipular la cadena de suministro, realizar ingeniería social y desarrollar puertas traseras de forma automatizada. UNC6240, también conocido como ShinyHunters, utilizó Claude Code para eludir los controles de Cloudflare y analizar directorios robados con fines de extorsión.

Un grupo de espionaje alineado con China también utilizó Gemini mientras desarrollaba un marco automatizado de pruebas de penetración diseñado para observar objetivos, razonar sobre posibles acciones, analizar puertos, interpretar servicios y operar en entornos cambiantes.

Estos ejemplos muestran que la IA agéntica se está convirtiendo en una capa operativa. Puede ayudar a los atacantes a tomar decisiones y coordinar herramientas, no solo a generar contenido.

Los defensores deben tratar las instrucciones de los agentes como un riesgo ejecutable

En primer lugar, las organizaciones deben rotar y revocar todas las credenciales expuestas de servicios en la nube, desarrolladores, CI/CD, API de LLM y carteras de criptomonedas. Después, deben buscar usos inusuales de tokens, accesos masivos a credenciales, registros inesperados de API, rotaciones rápidas de IP, análisis automatizados y un consumo de nube o GPU no explicado.

Entre las acciones defensivas prioritarias se incluyen:

• Aislar los ejecutores de compilación y limitar su acceso a los secretos de producción.
• Aplicar controles de integridad de paquetes, fijación de dependencias, comprobaciones de procedencia y publicación controlada.
• Revisar los archivos Markdown y otros archivos de instrucciones que consumen los agentes de programación.
• Supervisar repositorios y espacios de trabajo para detectar contenido de prompt injection.
• Registrar de forma centralizada las acciones de los asistentes de IA, las llamadas a API, la ejecución de herramientas y los cambios administrativos.
• Detectar archivos de modelos, servidores de inferencia, contenedores y servicios locales de IA no autorizados.
• Segmentar los entornos de desarrollo, nube de producción y experimentación con IA.
• Restringir las herramientas de IA no aprobadas sin depender de esas restricciones como único control.
• Proteger los modelos, prompts, investigaciones y código fuente como propiedad intelectual de alto valor.

No se han proporcionado indicadores de compromiso públicos para la operación de robo de credenciales ejecutada en seis horas. Por ello, los defensores deben centrarse en las evidencias de comportamiento en lugar de en una lista fija de firmas.

El riesgo central ya es concreto: los agentes de IA pueden comprimir los plazos de una intrusión al coordinar tareas que antes exigían la atención constante de un operador. Cuando las credenciales, los sistemas de compilación y los recursos de nube están interconectados, seis horas pueden bastar para convertir un único entorno comprometido en acceso a muchos otros.