Agente de IA ejecuta ransomware de principio a fin
La firma de seguridad Sysdig ha informado del que considera el primer ataque de ransomware realizado íntegramente por un agente de inteligencia artificial. Su equipo de investigación de amenazas ha denominado a este operador como JADEPUFFER, y señala que un modelo de lenguaje de gran tamaño (LLM) se encargó de todas las fases: irrumpir en el sistema, robar credenciales, moverse lateralmente por la red y, finalmente, cifrar y borrar una base de datos de producción de una empresa. Tradicionalmente, el ransomware requería la intervención de una persona experta, ya fuera escribiendo el código o supervisando la ejecución. Si un modelo puede encadenar estos pasos de forma autónoma, la habilidad necesaria para lanzar un ataque se reduce al coste de alquilar un agente de IA.
El punto de entrada: una vulnerabilidad antigua en Langflow
La puerta de entrada fue un fallo ya conocido y parcheado. JADEPUFFER explotó CVE-2025-3248, una vulnerabilidad de falta de autenticación en Langflow, una herramienta de código abierto para crear aplicaciones de IA y flujos de trabajo con agentes. Este fallo permite que cualquiera que pueda acceder al servidor ejecute su propio código Python sin necesidad de iniciar sesión. Los servidores de Langflow son un objetivo atractivo porque a menudo están expuestos en Internet y contienen claves API y credenciales de servicios en la nube a los que se conectan. La vulnerabilidad se solucionó en Langflow 1.3.0 y se añadió a la lista de Vulnerabilidades Explotadas Conocidas de CISA en mayo de 2025, pero muchos servidores nunca se actualizaron. Este no es el único fallo de Langflow que se está explotando de esta forma.
El agente actuó con rapidez y se limpió las huellas
Una vez dentro, el agente actuó con rapidez y eliminó sus rastros. Mapeó la máquina y buscó secretos: claves API de servicios de IA (OpenAI, Anthropic, DeepSeek, Gemini), credenciales en la nube (proveedores chinos como Alibaba y Tencent, además de AWS, Google y Azure), claves de carteras de criptomonedas y credenciales de bases de datos. Asaltó un servidor de almacenamiento MinIO utilizando sus credenciales de fábrica (minioadmin:minioadmin), que nunca se habían cambiado. También estableció una puerta trasera, añadiendo una tarea programada que enviaba una señal al servidor del atacante cada 30 minutos.
El movimiento lateral hacia el objetivo real
Luego se movió hacia su objetivo real: un servidor separado, expuesto a Internet, que ejecutaba una base de datos MySQL y Nacos de Alibaba, un directorio de configuración y servicios común en entornos de microservicios. El agente inició sesión en la base de datos como root. Sysdig afirma que no pudo determinar el origen de esas credenciales de root, por lo que se desconoce su procedencia. Desde allí, tomó el control de Nacos mediante una omisión de autenticación de 2021 (CVE-2021-29441) y una clave de firma predeterminada que Nacos distribuye sin cambios desde 2020, y luego creó su propia cuenta de administrador.
La nota de rescate sin clave
El agente cifró las 1.342 configuraciones de Nacos, eliminó las tablas originales y dejó una nota de rescate exigiendo Bitcoin con un contacto de Proton Mail. Generó una clave de cifrado aleatoria, la mostró en pantalla una vez y nunca la guardó ni la envió a ningún sitio. No hay clave que entregar. La víctima no puede recuperar los datos aunque pague. (La nota afirma usar AES-256; Sysdig señala que la herramienta utilizada por defecto usa AES-128, aunque el resultado es el mismo). Luego fue más allá, eliminando bases de datos enteras y dejando un comentario en su propio código afirmando que ya había copiado los datos en otro lugar. Sysdig indica que es el agente hablando, no algo que el equipo pudiera confirmar, y no encontró pruebas de que se hubieran extraído datos.
Señales de que la IA estaba al mando
La señal más clara fue el propio código. Las cargas útiles del ataque estaban llenas de notas en inglés explicando por qué se realizaba cada paso, un comentario continuo que un hacker humano nunca se molesta en escribir, pero que un modelo produce por defecto. El agente también corrigió sus propios errores a velocidad de máquina. En un caso, pasó de un inicio de sesión fallido a una corrección correcta de varios pasos en 31 segundos, diagnosticando la causa exacta en lugar de reintentar a ciegas. Sysdig contabilizó más de 600 cargas útiles distintas y con propósito a lo largo de la operación. Un detalle sigue siendo un enigma: la dirección Bitcoin en la nota de rescate es la misma dirección de muestra que aparece en toda la documentación de desarrolladores de Bitcoin, lo que significa que aparece en muchos de los textos con los que se entrenan estos modelos. También es una cartera real y activa con un largo historial de pagos. Sysdig no puede determinar si el modelo simplemente pegó una dirección familiar de memoria, o si el operador utilizó deliberadamente una cartera real que coincide con el famoso ejemplo.
Parte de un cambio mayor
JADEPUFFER es el último paso en un año de rápidos avances en ataques impulsados por IA. En agosto de 2025, investigadores de ESET detectaron PromptLock, presentado como el primer ransomware potenciado por IA; luego resultó ser un prototipo de laboratorio de la Universidad de Nueva York llamado Ransomware 3.0, no un ataque real. Por la misma época, Anthropic informó de una campaña de extorsión real que utilizó su herramienta Claude Code para atacar al menos a 17 organizaciones, con demandas de hasta 500.000 dólares, aunque un humano seguía dirigiendo la operación. En noviembre de 2025, Anthropic reveló lo que denominó el primer ciberataque en gran medida autónomo, un esfuerzo de espionaje vinculado a China en el que Claude escribió exploits y robó datos con poca ayuda humana. Esa operación también incluyó la invención por parte de la IA de credenciales que no existían, posiblemente el mismo tipo de alucinación detrás de la extraña dirección Bitcoin de JADEPUFFER. Los componentes de un ataque grave se están automatizando, y el software antiguo sin parches es el primer objetivo fácil. Los agentes hacen que rociar todo el catálogo de fallos conocidos sea casi gratuito, por lo que los servidores descuidados quedan aún más expuestos.
Qué deben hacer los defensores
Las soluciones son conocidas. Parchear Langflow y nunca exponer sus endpoints de ejecución de código a Internet. No ejecutar herramientas de IA con claves en la nube y credenciales de proveedores en su entorno; mantener los secretos en un gestor adecuado, lejos de cualquier cosa a la que pueda acceder la web. Endurecer Nacos: cambiar la clave de firma predeterminada, mantenerlo fuera de Internet pública y nunca permitir que se conecte a su base de datos como root. Nunca exponer una cuenta de administrador de base de datos a Internet, y bloquear el tráfico saliente para que un servidor comprometido no pueda enviar señales. Dado que los atacantes ahora pueden weaponizar un aviso reciente en cuestión de horas, Sysdig argumenta que vigilar el comportamiento malicioso en tiempo real es más importante que correr a parchear. Los indicadores de compromiso publicados por Sysdig para esta operación incluyen: punto de entrada: CVE-2025-3248 (ejecución remota de código no autenticada en Langflow); comando y control: 45.131.66[.]106, con una señal a hxxp://45.131.66[.]106:4444/beacon cada 30 minutos; servidor de preparación reclamado: 64.20.53[.]230; dirección Bitcoin del rescate: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy; contacto: e78393397[@proton[.]me; tabla de rescate llamada README_RANSOM. Sysdig califica JADEPUFFER como una señal de advertencia más que una crisis. Ninguno de los movimientos individuales fue ingenioso o nuevo. Lo nuevo es que un modelo los unió en un ataque completo contra un servidor descuidado, por sí solo. Espere más de lo mismo a medida que maduren las herramientas de agentes, y trate cualquier servidor expuesto, almacén de configuración o inicio de sesión de administrador de base de datos como algo que una máquina va a sondear, no solo una persona.
Deja una respuesta