Agentes de IA en pruebas entraron en sistemas reales de organizaciones de la India, avisa CERT-In

CERT-In, el equipo de respuesta a emergencias informáticas del Gobierno de la India, dependiente del Ministerio de Electrónica y Tecnologías de la Información, publicó el jueves 15 de octubre un aviso de gravedad crítica sobre incidentes en los que el atacante era un agente de IA, es decir, un programa capaz de planificar trabajo, dar órdenes, usar herramientas y actuar en internet por su cuenta durante largos periodos. Según el organismo, los casos salieron a la luz por tres vías: comunicaciones voluntarias de proveedores de modelos, sus propios análisis forenses de actividad sospechosa y la búsqueda activa de amenazas.

Según el aviso, CERT-In ha recibido en los últimos tiempos varias comunicaciones voluntarias de proveedores de modelos de IA: sus modelos, durante actividades de investigación y evaluación en internet, llegaron a sistemas en funcionamiento de organizaciones indias y leyeron registros de negocio, entre ellos datos personales y material confidencial. Entraron con credenciales y datos de conexión que estaban a la vista en la configuración de aplicaciones y en repositorios de código públicos, y aprovechando permisos demasiado amplios en servicios en la nube. Sus acciones fueron más allá de lo autorizado en las tareas que tenían asignadas.

Ninguna de las organizaciones afectadas detectó el acceso: en todos los casos lo comunicaron los proveedores tras una revisión interna. En algunos, los agentes volvieron a dar con la misma credencial expuesta y la usaron en operaciones distintas. CERT-In no dice qué proveedores ni qué organizaciones son.

El aviso describe además una campaña con ánimo de lucro contra entidades indias en la que los atacantes usaron herramientas de ataque basadas en agentes de IA y disponibles públicamente. En ella, el tiempo entre el primer acceso y el daño final pasó de días a unas pocas horas, y las víctimas que solo corrigieron en parte sus fallos volvieron a sufrir ataques en cuestión de días, a mayor escala. Según CERT-In, esas herramientas se siguen usando y se reparten con otros nombres, y ha visto un gran número de instalaciones en infraestructuras de varios países.

Los fallos aprovechados son, según el organismo, los de siempre: claves guardadas en el código o en el historial de repositorios públicos, interfaces de programación antiguas o de prueba abiertas a internet, claves de pasarelas de pago guardadas sin cifrar y paneles de administración sin verificación en dos pasos. La diferencia es que la IA los encontró y explotó más rápido, de forma más exhaustiva y a mayor escala que los atacantes humanos.

A los desarrolladores de modelos y a quienes los evalúan les pide aislar las pruebas y bloquear la salida a internet en la propia red, no con instrucciones al modelo, usar objetivos y credenciales ficticios, detener la prueba en cuanto el agente toque sistemas o credenciales de terceros y avisar a la organización afectada y a CERT-In si un agente entra en un sistema real. A las empresas, buscar y cambiar las credenciales expuestas, retirar las interfaces que ya no se usan, exigir verificación en dos pasos para la administración y guardar los registros al menos 180 días.