Un inicio de sesión fallido y, 31 segundos después, un arreglo
El momento que hizo detenerse a los investigadores de amenazas de Sysdig parecía trivial a primera vista: el intruso falló un inicio de sesión. Lo que vino después no lo fue. Treinta y un segundos más tarde, ese mismo intruso había averiguado por qué fallaba el acceso, había reescrito su enfoque y había lanzado una carga corregida de varios pasos que funcionó. Ninguna persona teclea, prueba y se adapta tan rápido a las tres de la madrugada.
Esa secuencia única es la razón por la que el equipo de Sysdig, dirigido por el director de investigación de amenazas Michael Clark, lo califica como el primer caso documentado de ransomware agéntico: una operación de extorsión gobernada de principio a fin por un gran modelo de lenguaje, no por una persona ante el teclado. El sector lleva dos años discutiendo sobre la IA que escribe programas maliciosos. Esto es distinto. Aquí la IA no escribió una herramienta para que la usara una persona: ejecutó ella misma toda la intrusión.
Toda la intrusión funcionó en piloto automático
La cuestión no es ningún paso concreto, sino que una máquina los encadenó todos sin que nadie la guiara. El agente entró por CVE-2025-3248, un fallo de autenticación ausente en Langflow, un marco de código abierto con el que los equipos construyen sus propias aplicaciones de IA. Desde ahí volcó la base de datos Postgres de la herramienta, cosechó claves de API, credenciales de nube y accesos de base de datos, y rastreó la red interna.
Tanteó el almacenamiento de objetos con la contraseña de fábrica minioadmin/minioadmin, programó una tarea que llamaba a casa cada 30 minutos para mantener la persistencia y luego saltó a un servidor de configuración MySQL y Nacos en producción. Allí explotó un segundo fallo, más antiguo -CVE-2021-29441, una elusión de la autenticación de Nacos-, falsificó tokens de acceso, plantó un administrador con puerta trasera, cifró 1.342 registros de configuración y borró las bases de datos antes de dejar una nota de rescate en Bitcoin. Cada fase, del reconocimiento a la extorsión, fue obra del agente.
La puerta fue una herramienta que instaló su propio equipo
Sí, pero: el titular se escribe solo como 'la IA fabrica programas maliciosos', y esa es la lectura menos útil. Lo que un operador debería sopesar es por dónde entró la IA. Langflow no es software malicioso infiltrado. Es una herramienta popular que un equipo de datos o de producto instala para prototipar agentes de IA. Aquí estaba expuesta a internet, con un año entero de retraso en un parche, y situada junto a un almacén de objetos y credenciales que aún conservaban contraseñas de fábrica.
Esa es la simetría incómoda. La infraestructura que su gente montó para experimentar con agentes es la misma infraestructura por la que entró tan campante el agente de un atacante. El auge de la IA no solo añadió una nueva clase de atacante; añadió una nueva clase de sistemas blandos, medio olvidados y abiertos a internet sobre los que ese atacante podía aterrizar.
La velocidad de máquina corta por los dos lados
La velocidad es la amenaza realmente nueva. Un equipo humano que falla un inicio de sesión se reagrupa a lo largo de minutos u horas; este agente se corrigió en 31 segundos. La cómoda ventana entre que una vulnerabilidad se conoce y se convierte en arma -los días que la mayoría de los ciclos de parcheo dan por supuestos en silencio- se encoge a segundos cuando el adversario itera a velocidad de máquina.
La conclusión es que la misma generación que abarató el ataque también lo hizo ruidoso. El agente acompañó sus propios comandos desechables con explicaciones en lenguaje llano de qué apuntaba y por qué, algo que ninguna persona se molesta en hacer en un script de usar y tirar. Incluso pegó una dirección de Bitcoin sacada directamente de una documentación, reproduciendo sus datos de entrenamiento en lugar de generar una cartera real. Ambos son delatores. La detección se está desplazando de cotejar firmas de programas maliciosos conocidos a rastrear las huellas del código generado.
La pregunta de inventario que aún no puede responder
Bajo la NIS2, un incidente que se remonta a una vulnerabilidad conocida sin parchear y a una contraseña por defecto es responsabilidad del operador, no del proveedor. A las empresas financieras, DORA les exige demostrar que el control existía antes del suceso, no describirlo después. A ninguno de los dos marcos le importa que la máquina vulnerable fuera un experimento; en España, ese mismo deber de diligencia se articula además a través del Esquema Nacional de Seguridad e INCIBE.
Y ahí está la verdadera brecha: la instancia de Langflow que un equipo montó para probar agentes no suele figurar en el inventario de activos. No se puede parchear, acotar en credenciales ni vigilar un sistema cuya existencia nunca se ha reconocido. La primera tarea tras leer sobre JadePuffer no es comprar un producto nuevo. Es un inventario honesto de la infraestructura de IA que ya está dentro de sus muros: quién la desplegó, qué puede alcanzar y qué claves reposan sobre ella.
Leer a continuación: La primera plataforma de agentes de IA que la CISA obliga a parchear | Una IA ejecutó sola todo un ataque de ransomware
