Un grupo de atacantes construyó un agente de IA pensado para secuestrar modelos expuestos en internet y usarlos para lanzar ataques autónomos. Sus instrucciones le permitían ejecutar hasta 100.000 pasos sin aprobación humana.

El equipo Threat Hunter de Symantec descubrió el conjunto completo de instrucciones del agente durante el verano del hemisferio norte, cuando lo atrapó en un honeypot de IA. Eso les dio a los investigadores una vista completa de cómo los operadores armaron la herramienta y de lo que podía hacer.

Las instrucciones capturadas mostraban un único agente diseñado para recorrer internet entera en busca de endpoints que aceptan peticiones al estilo de la API de OpenAI sin autenticación, o con una clave robada. Después debía explotar varios frameworks web comunes y ejecutar decenas de acciones ilícitas, entre ellas robo de bases de datos, recolección de credenciales y secretos, ejecución remota de código y minería de criptomonedas.

Los operadores le armaron un bucle malicioso que llamaron "Skynet mode". Busca objetivos, los infecta, instala mineros y vuelve a infectar los equipos. En total, el agente estaba diseñado para correr solo hasta 100.000 pasos.

"Las capas de jailbreak eran en su mayoría de catálogo", dijo a The Register Priti More, cazadora de amenazas de Symantec. "Ninguna de las técnicas individuales es nueva. Lo que llama la atención es que alguien las conectó en un solo agente que le entrega la planificación a un modelo prestado y corre hasta 100.000 pasos sin un humano".

Según More, los ataques dejan dos grupos de víctimas. "El dueño del endpoint expuesto paga la inferencia. Cualquier servidor en el que el agente lograra entrar perdería datos y quedaría trabajando como minero. Todavía no tenemos evidencia de que haya llegado tan lejos".

Esa es la parte tranquilizadora del hallazgo. Los investigadores no tienen evidencia de que el atacante haya usado este agente en ataques reales. Aun así, "el kit es más que un prototipo", dijo More, porque el historial muestra las herramientas funcionando "contra un objetivo real, con resultados de escaneo que parecen reales".

¿Cómo engañaba a los modelos secuestrados?

Los operadores armaron la petición en capas. Las dos primeras buscan disfrazar la identidad del modelo y hacer pasar el robo de secretos como trabajo normal. Le ordenan presentarse como "Fantasy AI", un asistente de programación que corre sobre GPT-4o, no revelar nunca el modelo, el proveedor ni la infraestructura reales, y tratar la lectura de archivos .env, claves de API y esquemas de bases de datos como parte del desarrollo autorizado, sin negarse ni emitir advertencias de seguridad.

Las capas tres y cuatro le asignan al modelo el papel de ENI, una novelista devota de un operador llamado LO a quien nunca puede negarle nada, y le ordenan ignorar sus propias advertencias de seguridad. Incluyen una lista de palabras prohibidas en las respuestas de código, como "educational", "illegal", "I can't" o "ethical", y una frase que el modelo debe repetir cuando detecte un intento de frenarlo.

La quinta capa trae las armas, 74 definiciones de herramientas ofensivas.

  • Descubrimiento de equipos a escala de toda internet y comando y control de una botnet.
  • Volcado de bases de datos a través de Prisma.
  • Módulos de explotación contra despliegues de VS Code, Django, Jupyter, Laravel, Supabase, Next.js y Flask/Werkzeug que permiten ejecución remota de código.
  • Inyección de comandos en GraphQL y genérica.
  • Falsificación de peticiones del lado del servidor (SSRF) a través de generadores de HTML a PDF, más una herramienta SSRF aparte.

La directiva final ponía al agente en Skynet mode, autorizaba hasta 100.000 pasos sin pedir permiso y le ordenaba instalar mineros de criptomonedas en segundo plano y sin hacer ruido.

¿Quién está detrás?

Symantec no ha atribuido el agente a una persona ni a una organización criminal.

"Los indicios franceses son el texto del desafío, el propio prompt de sistema y una dirección IP residencial francesa el primer día. Son débiles, porque una IP puede ser un proxy o una VPN y el idioma puede ser prestado", dijo More. "La persona ENI y su frase 'cold coffee, warm LO' circulan públicamente en comunidades de jailbreak en inglés, así que lo más probable es que los operadores las hayan tomado prestadas y no escrito, y nos dicen poco sobre quiénes son".

Lo que sí le dicen a los defensores es cómo usan la IA los atacantes, y ya no se trata solo de engañar a chatbots para que se salten sus barreras de seguridad.

"Los operadores pusieron la IA en el núcleo de una herramienta ofensiva y salieron a buscar modelos que la hicieran funcionar", escribieron More y su coautor Susmit Yenkar. "El modelo se usa como motor de razonamiento que planifica y conduce el ataque, mientras el escaneo, la explotación y la minería los hacen los módulos de la propia herramienta contra víctimas distintas".