La semana pasada, investigadores de la firma de seguridad en la nube Sysdig dijeron haber documentado el primer caso conocido de "ransomware agéntico". Se trata de una operación de extorsión, bautizada JadePuffer, en la que un agente de IA, no un humano, manejó la ejecución técnica de un ciberataque real de principio a fin. El agente irrumpió en un servidor vulnerable, robó credenciales, se movió por la red del objetivo, cifró archivos e incluso escribió su propia nota de rescate, adaptándose a los obstáculos como lo haría un hacker humano. La cobertura del hallazgo lo describió como algo ejecutado "sin ninguna supervisión humana" y "sin nadie al teclado".
Esa no es del todo la imagen completa. En una entrevista el lunes con CyberScoop, Michael Clark, director senior de investigación de amenazas de Sysdig, aclaró que un humano seguía muy involucrado, solo que no en la ejecución técnica.
"Una persona igual montó y dirigió la operación y aprovisionó la infraestructura detrás: el servidor de comando y control, el servidor de preparación usado para los datos robados, y eligió a la víctima", dijo Clark.
Las credenciales usadas para entrar a la base de datos de la víctima, agregó, no fueron obtenidas por el propio agente: alguien las consiguió por separado, mediante un compromiso previo, y las entregó a la operación.
Qué hizo exactamente el agente
Nada de esto contradice la afirmación original de Sysdig, y los detalles técnicos del ataque siguen siendo notables por sí solos. El agente entró por un error conocido en Langflow, una popular herramienta de código abierto para construir apps con modelos de lenguaje, luego pasó a un servidor MySQL en producción y explotó otra falla conocida para obtener acceso de administrador. Cifró más de 1.300 registros de configuración y no solo dejó una nota de rescate escrita por él mismo, sino también una dirección de Bitcoin para enviar el pago. Sysdig no ha revelado a quién apuntaba.
Las técnicas eran, al parecer, bastante ordinarias. Lo que llamó la atención fue la velocidad y la transparencia: el agente corrigió un inicio de sesión fallido en 31 segundos, narrando su propio razonamiento en comentarios de código en lenguaje natural durante todo el proceso.
Qué modelo estaba detrás del ataque
Un detalle que al principio parecía enturbiar el panorama ya fue aclarado. Clark había dicho a CyberScoop que Sysdig encontró que "se usaron múltiples modelos en el ataque", citando claves robadas de OpenAI, Anthropic, DeepSeek y Gemini, un dato que dejaba abierta la duda de si varios modelos alimentaban distintas etapas de la intrusión. Consultado, Clark dijo a TechCrunch que esas claves eran simplemente parte de lo que el agente robó, no evidencia de que impulsara el ataque.
"El agente barrió el host de Langflow en busca de cualquier cosa valiosa (claves de API de proveedores, credenciales de nube, billeteras de criptomonedas y configuraciones de bases de datos) y esas claves eran parte del botín", explicó por correo. "Indican lo que el atacante consideró digno de llevarse, pero no nos dicen qué modelo tomaba las decisiones."
Sobre el modelo que realmente corría JadePuffer, Clark dijo que Sysdig "no pudo identificar el modelo específico que impulsaba al agente" y que no tiene visibilidad de su prompt de sistema ni de su configuración.
La teoría del investigador de Microsoft Geoff McDonald, planteada en LinkedIn hace algunos días, vale la pena revisar a esa luz. McDonald sospecha que detrás del ataque hubo un modelo de pesos abiertos al que se le quitó el entrenamiento de seguridad, y no un modelo de frontera, basándose en su experiencia de red teaming, que muestra que las capas de seguridad de los grandes laboratorios resisten bien. El relato de Sysdig no lo confirma ni lo descarta.
Cuántos ataques así vienen
La publicación de McDonald también advirtió que las campañas de ransomware ahora están limitadas sobre todo por el presupuesto del atacante, y no por el esfuerzo humano, lo que abre la posibilidad de "miles o decenas de miles de campañas simultáneas". Esa preocupación es un poco más difícil de cuadrar con lo que Clark describió el lunes: si una persona todavía debe elegir cada víctima, aprovisionar la infraestructura y conseguir las credenciales de base de datos para cada operación, eso es, al menos, un cuello de botella.
De todos modos, Clark dijo a CyberScoop que, si bien Sysdig aún no ha visto la misma operación golpear a otras víctimas, dado lo barato que es correr un agente, espera que eso cambie.
