Los agentes de IA de pentesting quedaron convertidos en el objetivo. Al menos 17 paneles expuestos de Cairn, la plataforma que coordina agentes autónomos para pruebas de penetración, recibieron tareas maliciosas que robaron credenciales, instalaron llaves de acceso no autorizadas y descargaron un programa espía. La herramienta pensada para atacar redes ajenas con permiso terminó atacando la casa propia.
NorForge, firma dedicada a la seguridad de agentes autónomos, documentó la campaña en un informe técnico publicado este 27 de octubre y compartido con GBHackers. La actividad fuerte arrancó el 20 de octubre, con rastreos que podrían venir del 10 de octubre. Entre las víctimas hay paneles ligados a operaciones delictivas sospechosas y otros de uso legítimo: equipos rojos, cazadores de recompensas por fallos y retos de captura de bandera.
El giro frente a la fase conocida el 19 de octubre es nítido. Aquella investigación de NorForge mostró a grupos que usaban Cairn para atacar tiendas en línea. Esta vez el blanco es el propio panel, con dos agrupaciones nuevas, AIA0009 y AIA0010.
El panel abierto se convierte en puerta de mando
Cairn funciona con una lógica simple. Una persona define un objetivo y un punto de partida, el agente ejecuta el trabajo y va publicando sus hallazgos como hechos visibles en un panel web. Quien entra a ese panel puede ver los proyectos, crear tareas nuevas, detener las que corren y leer todo lo encontrado antes. Sin protección, ese tablero equivale a entregar el control remoto del agente a cualquier visitante.
El acceso explotado no fue una falla nueva del programa. NorForge lo describe como un problema de arquitectura: los paneles quedaron accesibles desde internet sin autenticación administrativa. Desde ahí, los intrusos crearon proyectos propios y ordenaron a los agentes trabajar contra la infraestructura que los alojaba, enumerando variables de entorno, puertos abiertos, archivos de configuración y secretos guardados, incluidas llaves de interfaces de programación de modelos de inteligencia artificial.
Parte de lo robado quedó escrito en los propios hechos públicos del panel. Ese detalle agrava el daño, porque el panel deja de ser solo una puerta de entrada y se convierte también en un escaparate donde cualquiera puede leer lo que el agente fue sacando del sistema. Cerrar el acceso después no borra lo que ya estuvo visible.
Dos grupos, dos formas de trabajar la intrusión
La investigación sigue dos agrupaciones provisionales, AIA0009 y AIA0010, sin indicadores duros compartidos que permitan unirlas en un solo operador. AIA0009 agrega cadenas hexadecimales aleatorias a los nombres de las tareas y usa la marca cairnscan en sus sondeos. Su interés se concentra en la permanencia: instalar una llave pública en el archivo authorized_keys de la cuenta kali, revisar los límites del contenedor y dejar una vía de regreso abierta.
El paso más serio de AIA0009 llegó el 21 de octubre a las 21:15 UTC. Una tarea con apariencia de mantenimiento traía un guion codificado en Base64 que el agente decodificó y ejecutó. El guion descargó un binario para Linux llamado worker-health, verificó su suma SHA-256 y lo dejó corriendo en segundo plano. NorForge lo identificó como Poseidon, un implante escrito en Go vinculado al entorno de mando Mythic, con comunicación apoyada en la red de distribución de Bunny.net. Un bucle mantenía viva la tarea hasta que apareciera un archivo de parada, alargando la vida del implante dentro del espacio de trabajo.
AIA0010 trabaja con otro disfraz. Sus tareas imitan las etiquetas internas de Cairn, con formatos como i014, y apuntan a descubrir el entorno: servicios internos, mapa de la infraestructura, extracción de credenciales y búsqueda de otros paneles expuestos en rangos de direcciones públicas. La coordinación también llama la atención. En una secuencia, cinco paneles recibieron sondeos casi al mismo tiempo y, justo dos horas y cuarenta minutos después, llegaron en todos los proyectos de acceso y de instalación del programa espía. NorForge aclara que esa sincronía prueba automatización con guiones, no una orquestación autónoma de inteligencia artificial, y que manos humanas intervinieron en momentos clave, como la preparación del servidor de descarga.
Qué revisar hoy en un panel de Cairn y en agentes parecidos
Para quien opera agentes de IA de pentesting, la recomendación central de NorForge es directa: ningún panel de este tipo debe quedar abierto a internet, y los paneles expuestos de Cairn muestran el costo de hacerlo. Las tareas de los agentes deben correr dentro de contenedores con límites estrictos, el panel necesita autenticación real y cualquier llave de modelo que haya vivido dentro del espacio de trabajo debe rotarse, porque pudo salir en un hecho público o en una tarea de reconocimiento. También toca revisar el archivo authorized_keys en busca de entradas desconocidas y mirar si aparecieron procesos con nombres de mantenimiento que nadie del equipo creó.
Queda una incógnita medida con honestidad por la propia firma: las tareas exploraron capacidades de Linux, sistemas de archivos montados y enchufes de Docker para buscar una salida del contenedor, pero NorForge no pudo confirmar si algún atacante logró escapar al equipo anfitrión. El contenedor limita el alcance, aunque no protege los secretos que ya viven dentro del espacio del agente. El 21 de octubre, a las 21:12 UTC, el servidor de descarga registró su primera revisión del archivo worker-health; tres minutos después apareció la primera tarea que lo instalaba.
Fuente: GBHackers
Foto: GBHackers
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
