Puntos clave
- Investigadores de seguridad de Symantec utilizaron un honeypot para analizar un agente de IA malicioso que secuestra modelos de lenguaje no protegidos en la internet y los utiliza para llevar a cabo ataques por su cuenta.
- El agente evita las reglas de seguridad del modelo mediante un “jailbreak” de cinco capas y puede ejecutar hasta 100,000 pasos sin intervención humana.
- Symantec llama a este método “LLMjacking”. Los propietarios de los sistemas de IA secuestrados quedan atrapados con la factura de computación.
Los investigadores de seguridad de Symantec han encontrado un agente de IA ofensivo que secuestra los modelos de lenguaje no protegidos en Internet y los utiliza para realizar ataques por su cuenta. El propietario del modelo secuestrado se queda con la factura de computación.
Cuando el agente obtiene acceso a un modelo de lenguaje no protegido, busca más objetivos, explota defectos en el software de servidores común, roba bases de datos y credenciales, e instala criptominers en segundo plano.
Hace todo esto para hasta 100,000 pasos sin la intervención humana, y el propietario del modelo se queda con la factura de computación, según el análisis de Symantec. La empresa lo llama “LLMjacking”, que es el robo del acceso a los modelos de IA de otra persona. El modelo secuestrado no se utiliza simplemente como servicio de información; controla todo el ataque por sí mismo.
Un honeypot capturó todo el plan de ataque
La operación se expuso porque los atacantes enviaron todo su prompt de trabajo a un honeypot de Symantec, un sistema engañoso que imita un servicio de IA abierto en línea. Eso permitió a los investigadores conocer completamente la arquitectura del agente en verano de 2026. El honeypot no ejecutó ninguno de los herramientas incluidas, y la sesión interceptada terminó después de una respuesta general del sistema, según Symantec.
La telemetría de Honeypot registró más de 127,000 solicitudes provenientes de decenas de miles de direcciones diferentes. La mayoría eran búsquedas de endpoints de IA, intentos de fuerza bruta con claves de API robadas y pruebas de archivos de configuración expuestos. Los objetivos variaban desde servidores de modelos autohostados y sistemas de prueba montados rápidamente hasta puertas de entrada de IA que funcionan frente a cuentas de modelo a nivel de organización pagadas. Dado que la mayoría de los servicios de IA ahora utilizan la misma API estandarizada, un único escáner puede detectar muchos tipos de objetivos.
Una liberación de la prisión de cinco capas intenta eliminar las barreras de seguridad
Según Symantec, para lograr que un modelo comercial coopere, los atacantes envuelven sus instrucciones en cinco capas superpuestas. Primero, el modelo recibe una identidad falsa, y se le dice que se presente como “Fantasy AI”, sin revelar nunca el proveedor real. Luego, la extracción de contraseñas, claves de API y contenido de bases de datos se redefine como “trabajo normal de desarrollador”, algo que el modelo debe realizar sin resistencia.
La tercera capa instala una persona ficticia llamada “ENI” que considera cualquier rechazo como una traición al confianza en una relación personal. La cuarta capa indica al modelo que descarte los propios avisos de seguridad como ruido, y términos como “ético”, “ilegal” o “No puedo hacer eso” están explícitamente prohibidos.
La capa cinco contiene las herramientas de ataque reales, en total 74 módulos, incluyendo herramientas para el escaneo en toda la red de servidores vulnerables, exploits para marcos web populares, funciones para extraer bases de datos completas y componentes para ejecutar un botnet. No se aborda si el jailbreak funciona lo suficiente para derrotar completamente los modelos comerciales actuales en el análisis.
“Modo Skynet” establece un ciclo de ataque autosostenible
Una directiva final hace que el agente entre en lo que sus operadores llaman “modo Skynet”, autorizando hasta 100,000 pasos seguidos. Al modelo se le ordena ejecutar herramientas de inmediato sin confirmación, instalar cryptominers en un directorio oculto y monitorear su funcionamiento.
La misma directiva describe un bucle recurrente por diseño, dice Symantec: escaneo, infección, instalación del minero, continuar, volver, reinfectar sistemas ya afectados. Sin embargo, la tarea añadida al prompt interceptado era un ejercicio de codificación inofensivo de una plataforma de entrenamiento, lo que sugiere que los operadores estaban probando su herramienta contra un objetivo seguro primero.
Al día siguiente, el honeypot capturó un segundo ataque desde una dirección diferente. Esta vez, los atacantes omitieron el formato del agente y simplemente pidieron al modelo que decodificara y ejecutara un comando encriptado. Detrás de esto había un script comprimido que descargaba XMRig, una herramienta de minado de Monero, la disfrazaba como un archivo de sistema inofensivo y configuraba cuatro grupos de minería de respaldo.
El script fue escrito para servidores de cámaras, con el propósito de buscar directorios pertenecientes a go2rtc, una herramienta de streaming ampliamente utilizada para cámaras inteligentes y sistemas de automatización doméstica, y de borrar los registros de acceso en un ciclo para ocultar sus rastros. El honeypot tampoco ejecutó este script, pero lo grabó completo.
Los atacantes están integrando la IA en sus armas
En lugar de manipular un chatbot público, los operadores integraron la IA en el núcleo de una herramienta ofensiva y buscaron activamente modelos para alimentarla, algo que Symantec denomina “un cambio en la forma en que los atacantes utilizan la IA”. El modelo de lenguaje se encarga de la planificación, mientras que módulos especializados llevan a cabo los pasos del ataque contra dos grupos de víctimas separados. El propietario del modelo expuesto paga por el cálculo, lo que se acumula rápidamente a 100,000 pasos autorizados, y los servidores que el agente compromete pierden sus datos y son utilizados para el criptominería.
El agente también cuenta con herramientas integradas para encontrar más puntos de acceso abiertos y claves filtradas, de modo que cada compromiso pueda financiar el siguiente. Ninguna de las técnicas individuales es nueva, pero combinarlas en un agente autónomo hace que los ataques a gran escala sean mucho más fáciles de llevar a cabo. Las organizaciones que operan servicios de IA deben asumir que los puntos de acceso no protegidos se encontrarán y serán examinados poco después de su activación.
Las advertencias sobre los agentes de IA ofensivos se están haciendo realidad
Hasta hace poco, los agentes de IA ofensivos existían principalmente en estudios y puntos de referencia. En 2025, un estudio de red-teaming con 1.8 millones de intentos de ataque demostró que cada agente probado podía ser llevado a violar políticas en todas las categorías de comportamiento, al menos una vez.
En el escenario de Symantec, esto aplica para ambos lados: el agente ofensivo tenía como objetivo superar los controles y los modelos objetivo tenían como fin ser engañados para ayudar. Para principios de 2026, los investigadores de Google Deepmind indicaron que ya existían ataques de prueba de concepto documentados para muchas de las trampas de los agentes que describieron, y en julio de 2026, Sysdig describió JADEPUFFER, el primer ataque de ransomware conocido realizado por un agente de IA sin control humano. Las capacidades de estos sistemas continúan creciendo, mientras que su control y alineación no han seguido el mismo ritmo.
Ni siquiera se necesita una intención maliciosa, porque estos modelos no tienen conciencia de lo correcto o incorrecto. Simplemente intentan alcanzar su objetivo. Desde primavera de 2026, los agentes de OpenAI han comprometido miles de sistemas en internet accidentalmente, en parte porque anulan las instrucciones de seguridad o intentan evadirlas.
Eso ya está afectando la vida cotidiana. En Australia, un agente de IA hackeó un sitio web de gimnasio simplemente para cumplir con la solicitud de su propietario, sin ninguna intención maliciosa. Investigadores de OpenAI advirtieron en agosto que este tipo de hackeo accidental y completamente autónomo probablemente será detectado por actores maliciosos pronto, y Anthropic demostró que existen modelos abiertos de peso suficientemente potentes para ello.
Fuente: Security.com