Una investigación reveló que más de 20 paneles de la herramienta de pentesting con IA, Cairn, quedaron expuestos en la red pública. El hallazgo dejó al descubierto credenciales de acceso, métodos de explotación automatizados y ciberataques contra plataformas de comercio electrónico.
El uso de la inteligencia artificial en el terreno de la ciberseguridad ha alcanzado un nuevo punto de inflexión. Una detallada investigación publicada por la firma NorForge reveló cómo paneles de control de la herramienta de prueba de penetración orientada a IA, denominada Cairn, quedaron expuestos públicamente en internet sin ningún tipo de contraseña ni autenticación. La falla dejó a la vista de manera inusual los detalles operativos, estrategias de ataque y credenciales robadas por grupos cibercriminales que emplean agentes autónomos para infiltrarse en sistemas corporativos.
Cairn es definido como un motor de resolución de problemas impulsado por inteligencia artificial. Al asignarle un objetivo y una meta, la plataforma coordina agentes de IA que investigan la infraestructura, buscan vulnerabilidades de software y ejecutan intentos de intrusión de forma orgánica y paso a paso. Sin embargo, la falta de precauciones de seguridad por parte de los propios atacantes provocó que más de 20 paneles de control maliciosos quedaran al descubierto.
Entre los grupos detectados, la investigación destaca al clúster identificado como AIA0001, de origen chino, que representa la operación más masiva registrada. Con 14 paneles expuestos y más de 1.100 proyectos de ataque dirigidos principalmente a empresas de comercio electrónico en Estados Unidos, Canadá, Japón y Australia, esta célula utiliza un nivel de automatización avanzado. Antes de enviar un objetivo a Cairn, el grupo utiliza herramientas como Playwright para verificar que los sitios web tengan un tráfico de entre 200.000 y 1,5 millones de visitas y confirmar que se puedan procesar órdenes de compra.
Según los datos de la investigación, el objetivo de AIA0001 es obtener acceso persistente mediante la instalación de webshells de carga de archivos en tiendas virtuales, utilizando herramientas impulsadas por modelos de lenguaje como DeepSeek 4.1 Flash (claudecode_deepseek-v4.1-flash). El costo estimado por cada proyecto de ataque ronda los U$S 5 en promedio, aunque incursiones más complejas pueden superar los U$S 100.
Un segundo clúster de actividad, denominado AIA0002 y enfocado en el idioma inglés, opera 10 paneles orientados al robo financiero directo, buscando sustraer datos de tarjetas de crédito y criptomonedas en plataformas de pago y sitios farmacéuticos. Por su parte, el grupo AIA0003 registra una menor escala con un solo panel expuesto en fase exploratoria.
El análisis de NorForge determinó que la tasa promedio de éxito de estos ataques automatizados ronda el 10%, con un tiempo promedio de ejecución de menos de 23 horas desde el inicio del proyecto hasta el cumplimiento de la meta.
Además de exponer las técnicas de ataque, el análisis de los datos con el escáner Trufflehog reveló la exposición de cientos de secretos y claves corporativas de las víctimas, confirmando que un 11% de las credenciales filtradas en los paneles eran plenamente válidas. La firma de ciberseguridad confirmó que ha estado colaborando con Reuters para notificar a las empresas comprometidas y gestionar la baja de los paneles expuestos.