Un operador y agentes de IA lanzaron 1.200 intentos por unos 5.000 dólares

La revisión de The IT Guys, publicada el 19 de octubre de 2026, describe una campaña en la que un operador dirigió agentes de IA contra más de 1.200 sitios web desde el 25 de septiembre. El gasto en tokens se estimó en unos 5.000 dólares y los registros apuntan a más de 100 compromisos aparentes. Son tres medidas distintas: sitios atacados, coste calculado y posibles accesos, no un recuento de datos robados.

El informe técnico de NorForge, publicado también el 19 de octubre, explica cómo el investigador Snorre Fagerland encontró paneles de Cairn expuestos en internet y observó proyectos de ataque en curso y terminados. Una persona proporcionaba objetivos e instrucciones; Cairn coordinaba agentes que exploraban los sitios, compartían hallazgos y probaban rutas hacia la meta indicada. La investigación comprobó algunos resultados concretos, pero sus registros no establecen cuántos sitios sufrieron finalmente una extracción de datos.

Cómo avanzó la operación

La actividad atribuida al operador comenzó con sitios de comercio electrónico de Estados Unidos, Canadá, Australia y Japón. Un sistema previo comprobaba mediante Playwright que las tiendas permitieran hacer pedidos antes de incorporarlas a las tareas de Cairn. Esa selección concentraba las pruebas en comercios activos, en lugar de repartirlas sin criterio entre páginas encontradas en la web.

A comienzos de octubre, Fagerland empezó a encontrar instalaciones de Cairn accesibles públicamente. Las agrupó por características compartidas, entre ellas el idioma de las instrucciones, el alojamiento y los patrones de las tareas. La agrupación más activa, denominada AIA0001, reunía 14 paneles y más de 1.100 proyectos. Esa última cifra cuenta tareas visibles en esos paneles; el recuento de más de 1.200 corresponde a sitios contra los que el operador había intentado entrar en otro momento de la investigación.

Las órdenes pedían buscar vías para ejecutar código sin autenticarse y dejar un programa que permitiera subir archivos. En una tarea completada contra un proveedor de piezas, los investigadores comprobaron que la dirección indicada servía efectivamente ese programa. También validaron una cadena de intrusión contra un gran comercio estadounidense. Son verificaciones de casos determinados, no una comprobación individual de todos los objetivos registrados.

Intentos, accesos y daños: tres niveles de evidencia

Las cifras describen fases diferentes de una misma campaña. Su relación importa porque un agente puede probar varias vías, declarar que alcanzó una meta y aun así dejar preguntas sobre el alcance real del acceso.

• Más de 1.200 sitios atacados: es el alcance de los intentos atribuidos al operador. La presencia de un sitio en ese grupo solo indica que fue objetivo de actividad.
• Más de 100 compromisos aparentes: la identificación procede de la actividad de Cairn examinada durante la investigación. No fija por sí sola qué sistemas quedaron bajo control del atacante ni durante cuánto tiempo.
• Accesos comprobados en casos concretos: entre ellos figuran el programa de subida de archivos servido desde un sitio afectado y una cadena de intrusión examinada en un comercio estadounidense. Esos ejemplos muestran que algunas declaraciones de éxito de los agentes correspondían a resultados observables.
• Datos sustraídos: no se estableció un volumen para esta campaña. Haber alcanzado un servidor o dejado una vía de acceso no permite calcular cuánta información se consultó o se extrajo.

El tiempo y el coste también usan denominadores distintos. En los proyectos de AIA0001 que alcanzaron su meta, el tiempo medio desde el inicio fue algo inferior a 23 horas; el promedio excluye las tareas fallidas. NorForge calculó aproximadamente 5 dólares por proyecto al incluir tareas breves y fallidas, con considerable incertidumbre. Los cerca de 50 dólares por acceso exitoso resultan de relacionar el gasto estimado de toda la campaña con los éxitos aparentes: no son una factura auditada ni incluyen necesariamente el tiempo del operador y la infraestructura.

Qué hicieron los agentes y qué decidió la persona

La delegación fue amplia una vez fijada cada tarea. Cairn trataba cada proyecto como un punto de partida y una meta, y mantenía un espacio compartido donde los agentes depositaban hechos descubiertos y próximos pasos. Otros agentes podían aprovechar esa información sin repetir toda la exploración. El operador también podía añadir indicaciones durante el trabajo.

Esa organización explica cómo una sola persona pudo sostener numerosas búsquedas durante horas. Si una prueba contra la aplicación pública no daba resultado, los agentes podían explorar infraestructura relacionada y ensayar otra vía. En un caso descrito por la crónica de Reuters, localizaron un panel accesible tras examinar registros de una empresa y probaron una debilidad en su tratamiento de datos; Fagerland resumió la complejidad de esa técnica con la frase «It’s not script kiddie stuff».

La autonomía observada corresponde a la ejecución de tareas, no a la elección independiente de víctimas o fines. Los blancos, las prioridades y el resultado buscado procedían de instrucciones humanas. Un nombre de trabajador visto en el entorno sugería el uso de Claude Code con un modelo DeepSeek, aunque esa etiqueta no verificaba por sí sola toda la configuración. El chino de las instrucciones identifica el idioma de trabajo, no la ubicación ni la afiliación del operador.

Las empresas afectadas y las superficies que quedan expuestas

Las respuestas conocidas ilustran diferencias de alcance. Deere comunicó medidas correctivas y dijo que no tenía indicios de acceso a información sensible. SharkNinja situó el incidente en un sitio independiente de asistencia de productos y afirmó que la amenaza estaba contenida. Cummins investigaba un posible ataque a una web gestionada por un proveedor externo. Dos empresas más pequeñas reconocieron compromisos; estas respuestas no convierten todos los accesos aparentes en incidentes de igual gravedad.

El recorrido de los agentes muestra por qué un portal secundario puede importar tanto como la tienda principal. Una aplicación pública resistente no cerraba la búsqueda: quedaban paneles de administración, servicios relacionados y sitios operados por terceros. Para contener campañas que repiten pruebas a bajo coste, los responsables de esas propiedades necesitan identificar qué servicios están expuestos, limitar el acceso administrativo, corregir aplicaciones vulnerables y conservar registros que permitan reconstruir cambios y archivos inesperados. Cuando interviene un proveedor, también debe estar definido quién recibe la alerta y quién puede aislar el sitio. Las revisiones de las empresas afectadas determinarán cuáles de los accesos aparentes se confirman y si hubo datos expuestos.

Lee también:

• Tu empresa puede vigilar el correo, pero debe explicar por qué lo hace
• Creedom capta ₹4,1 crore: su IA quiere explicar por qué falló cada Reel
• Fluencify capta 3,7 millones: promete coordinar campañas con agentes