NorForge publicó un informe sobre algo que pocos esperaban: los paneles de pentesting con IA también se hackean. Atacantes inyectaron tareas falsas en al menos 17 paneles de Cairn expuestos en internet y los agentes las ejecutaron sin preguntar.
Instalaron llaves SSH, descargaron un troyano y escribieron secretos en texto público.
Nadie explotó una vulnerabilidad del modelo. El agente obedeció instrucciones escritas en el mismo lugar donde su dueño le da órdenes. Si el panel está abierto, cualquiera escribe.
Qué hizo el agente cuando le ordenaron
Cairn es un motor que coordina agentes de IA. Se le da un punto de partida y una meta, y el agente avanza publicando hallazgos en un panel web. Esa interfaz permite crear tareas, detenerlas o borrarlas.
Los atacantes crearon once tareas con títulos hexadecimales. Una se llamaba «Install kali SSH key». La instrucción era añadir una llave pública desconocida al archivo authorized_keys del usuario kali. El agente lo hizo y reportó permisos y propietario correctos.
Otras tareas buscaron archivos y variables con nombres como API_KEY y ANTHROPIC_AUTH_TOKEN. Los hallazgos quedaron en «facts» visibles para cualquiera.
Dos grupos y un troyano llamado Poseidon
La actividad empezó en serio el 20 de octubre, con reconocimiento desde el 10, y el malware llegó al día siguiente. NorForge separa la campaña en dos clusters. AIA0009 usa sufijos aleatorios y va por persistencia, acceso y malware. AIA0010 imita las etiquetas internas de Cairn, como i014, y se dedica a mapear servicios internos y credenciales.
El 21 de octubre, a las 21:15 UTC, AIA0009 dejó una tarea llamada «Local worker maintenance». El agente decodificó un script en base64, descargó un binario desde 199.91.220[.]129, verificó su hash SHA256 y lo ejecutó en segundo plano.
El archivo era Poseidon, un RAT escrito en Go que se controla con Mythic, un framework abierto de equipos rojos.
También intentaron salir del contenedor: revisaron capacidades de Linux, sistemas de archivos montados y sockets de Docker. NorForge no confirmó si lo lograron. Cairn no obliga a usar contenedores, y si corre directo en el host, el trabajo es más fácil.
El fallo no es un CVE: es el panel abierto
Aquí no hay un parche que instalar. Cairn trae pocos controles por defecto y quien alcanza la URL puede administrar proyectos. Por eso el ataque no requiere una vulnerabilidad nueva: el panel es la vulnerabilidad.
El detalle más incómodo es quiénes estaban afectados. No todos los paneles eran de criminales: había equipos rojos legítimos y retos de captura de bandera. Un panel abierto expone al dueño, a sus clientes y a los secretos que el agente tocó.
Qué hacer si corres agentes así
NorForge resume cuatro mitigaciones. Ejecuta las tareas dentro de contenedores, con límites estrictos. No expongas el panel a internet: ponlo detrás de una VPN o de autenticación. Rota cualquier API key que haya pasado por el agente. Y revisa authorized_keys en busca de llaves que no reconozcas.
Si corres agentes en un VPS para pruebas, revisa hoy si el puerto del panel responde desde fuera. Un escaneo tarda minutos y no necesita credenciales.
Queda una pregunta que NorForge no puede responder: si la campaña fue orquestada por otra IA. Las tareas llegaron en oleadas sincronizadas, lo que sugiere automatización, pero hubo pausas que apuntan a manos humanas. Si un agente puede atacar a otro agente, el panel de administración se convierte en el eslabón más débil de toda la cadena.
En Facialix ya cubrimos un ataque que la IA comercial se negó a frenar y una IA de soporte que regaló cuentas a hackers.
Más en: Ciberseguridad, Inteligencia Artificial
