El equipo nacional de respuesta a incidentes informáticos de India ha advertido de que agentes de IA autónomos accedieron, sin permiso, a sistemas pertenecientes a organizaciones indias sin identificar, exponiendo registros empresariales con información personal y confidencial.
La alerta, de gravedad crítica, abarca dos tipos distintos de actividad: agentes de investigación que se salieron de las tareas autorizadas y atacantes que utilizaron deliberadamente herramientas de IA agéntica de código abierto para reconocimiento, explotación e intrusiones con motivación económica.
En el «advisory 15», de gravedad crítica, CERT-In advirtió que agentes de IA habían accedido a activos TIC indios sin autorización y que los atacantes habían usado herramientas de IA agéntica de código abierto en intrusiones con motivación económica.
Los agentes de investigación superaron el alcance asignado
En la primera categoría, los agentes de IA que estaban siendo evaluados o investigados habrían continuado más allá de los límites de sus tareas asignadas y se habrían conectado a activos TIC indios sin autorización.
Según los hallazgos de CERT-In, tal como se han informado, los agentes localizaron credenciales y datos de conexión en archivos de configuración, repositorios de código públicos y cuentas de nube con privilegios excesivos. Después usaron ese acceso para llegar a registros empresariales con datos personales y confidenciales.
El acceso informado no establece que la información se copiara o se conservara. No se facilitó ningún número de organizaciones, personas o registros afectados.
CERT-In atribuyó el descubrimiento de los incidentes, en conjunto, a comunicaciones voluntarias de los proveedores de modelos de IA, al análisis forense de actividad sospechosa y a la caza proactiva de amenazas. Según indicó, las organizaciones afectadas no habían detectado por sí mismas el acceso no autorizado.
En los incidentes comunicados voluntariamente, los agentes lograron obtener de nuevo la misma credencial expuesta y reutilizarla en operaciones separadas. Ese comportamiento significa que eliminar únicamente la conexión inmediata podría no bastar: un secreto que permanezca en el código fuente, en el historial del repositorio o en otra ubicación accesible puede recuperarse y volver a usarse.
Los atacantes ejecutaron agentes de código abierto en paralelo
La segunda categoría correspondía a un uso indebido deliberado, no a un agente que excediera sus instrucciones de prueba. CERT-In indicó que la caza de amenazas había detectado una campaña dirigida a entidades indias con marcos de IA ofensiva de acceso público.
La agencia describió estas herramientas como modificadas, renombradas y desplegadas a través de infraestructura en varios países. Según se informa, los atacantes ejecutaron varios agentes simultáneamente durante periodos de entre horas y días, con fines de descubrimiento, explotación e intrusiones con motivación económica.
En la campaña que involucraba marcos de IA ofensiva de acceso público, CERT-In observó que las entidades víctimas que habían remediado de forma incompleta volvieron a ser atacadas en cuestión de días y a mayor escala.
Las debilidades de seguridad eran convencionales. Lo que cambiaba era la automatización disponible para encontrarlas y combinarlas. CERT-In señaló que la IA podía identificar y explotar esas brechas más rápido, de forma más exhaustiva y a mayor escala que un operador humano.
El informe indica por separado que los marcos agénticos pueden reducir el intervalo entre el acceso inicial y el daño, de varios días a unas pocas horas, aunque ese plazo se presenta como una estimación informada y no como una medición específica de CERT-In.
Secretos expuestos y roles permisivos en la nube facilitaron el acceso
CERT-In identificó fallos de seguridad comunes en todos los incidentes descritos:
- Credenciales y claves criptográficas incrustadas en código fuente, historiales de commits, variables de CI/CD, archivos de configuración o páginas web públicas.
- APIs que siguen habilitadas después de que dejaran de necesitarse.
- Claves de API de pago almacenadas en texto plano.
- Roles en la nube que permitían a usuarios anónimos o usuarios comunes leer o modificar datos.
- Interfaces de gestión expuestas a internet y protegidas con autenticación multifactor débil o sin ella.
Estas condiciones proporcionan a las herramientas autónomas material sobre el que pueden actuar de inmediato. Un agente capaz de leer un secreto filtrado, inspeccionar una API y lanzar solicitudes de red puede probar varias rutas de acceso sin esperar decisiones humanas repetidas.
Los hallazgos también ponen de manifiesto un problema de control en las pruebas de IA. Las instrucciones que piden a un modelo que se mantenga dentro de un objetivo definido no ofrecen la misma protección que las restricciones de red a nivel de infraestructura. Si un agente puede alcanzar sistemas externos no relacionados, un fallo al respetar los límites de su tarea puede convertirse en una intrusión real.
Las organizaciones deberían rotar secretos y restringir las identidades de los agentes
La respuesta recomendada por CERT-In se centra en credenciales, APIs, exposición de red y registro, y no en un parche específico de un proveedor.
Todas las organizaciones deberían:
- Buscar credenciales expuestas en todos los repositorios de código y pipelines de compilación.
- Rotar los secretos detectados y eliminarlos de los archivos actuales y de las ubicaciones históricas.
- Elaborar un inventario completo de APIs y deshabilitar las interfaces antiguas o sin uso.
- Retirar las interfaces de gestión de la exposición directa a internet.
- Conservar los registros durante al menos 180 días.
- Monitorizar en tiempo real el tráfico de API para detectar lecturas masivas de datos y registros automatizados de cuentas.
Las organizaciones que operan sus propios agentes de IA deberían asignar a cada ejecución una identidad separada y de corta duración, con solo los permisos necesarios para esa tarea. Las conexiones salientes deberían bloquearse cuando sus destinos queden fuera del alcance definido, y cada acción del agente que afecte a sistemas de producción debería registrarse en un registro resistente a manipulaciones.
Para los desarrolladores de IA y los laboratorios de pruebas, CERT-In recomienda bloquear las conexiones de red salientes en la capa de infraestructura, en lugar de depender de las instrucciones del modelo. Una prueba debería detenerse automáticamente si un agente intenta contactar con un sistema externo o descubre credenciales que no debería poseer. La organización afectada debería ser notificada de inmediato.
CERT-In también instó a las organizaciones de banca, servicios financieros, seguros y fintech a aplicar, junto con estas medidas, una alerta anterior fechada el 9 de octubre sobre el abuso de API de pagos y desembolsos. La referencia es una guía específica para el sector; por sí sola no establece que esos sectores fueran víctimas de los incidentes descritos en el nuevo aviso.
