Un ciberdelincuente logró que agentes de inteligencia artificial operaran de forma autónoma para atacar comercios minoristas en todo el mundo, instalar programas de robo de datos en sitios web e interceptar información de pago. Desde julio de 2026, los bots ejecutaron cientos de proyectos de ataque, vulneraron decenas de organizaciones y sustrajeron al menos 600.000 registros de tarjetas de crédito, según investigadores de seguridad de Gambit. La campaña continúa activa.
Los especialistas de la firma de ciberseguridad afirmaron que consiguieron acceder al servidor de gestión del operador y, a partir de ese hallazgo, reconstruyeron la totalidad de la operación en curso.
El equipo observó los programas de robo de datos, conocidos como skimmers, en funcionamiento dentro de los sitios web de las víctimas, y revisó los registros y las instrucciones que el atacante dio a la inteligencia artificial. Solo entre el 10 y el 15 de septiembre, los agentes lanzaron 105 oleadas de ataques y comprometieron a 27 organizaciones “en distintos grados”.
Empresas de gran escala figuran entre las víctimas
Entre los afectados se cuentan una empresa de hospitalidad que integra la lista Fortune 500, una aerolínea estadounidense de gran tamaño, una distribuidora industrial privada de Estados Unidos y un minorista de moda en línea del mismo país.
Una de las herramientas de inteligencia artificial empleadas por el atacante utilizaba un servicio de clasificación de sitios web para elaborar listas de posibles objetivos, con preferencia por aquellos que operaban con software desarrollado a medida.
Gambit sostiene que el atacante corresponde a un actor de amenazas de origen chino con motivación económica. Los investigadores remarcaron que el foco de la historia no recae en las víctimas, sino en la manera en que se ejecutó la operación: con un costo mínimo y una velocidad que supera ampliamente la capacidad humana.
El costo de la operación no superó los 18.000 dólares
El atacante utilizó tres marcos de trabajo de inteligencia artificial, capaces de ejecutar casi toda la cadena de ataque de forma autónoma, con capacidad para golpear a unas 10 empresas por día a un costo de apenas unos dólares por cada una. En cuatro semanas, el operador gastó cerca de 7.000 dólares, lo que llevó el costo total de la campaña a no más de 18.000 dólares hasta el momento del análisis.
“Repartido entre las empresas atacadas, esto representa un costo marginal de unos pocos dólares a unas pocas decenas de dólares por cada compañía objetivo”, señalaron los investigadores. El propio registro de gastos del atacante confirma esa cifra: un promedio de 25,46 dólares sobre 101 escaneos completados, con un mínimo de 3,13 dólares para el objetivo más económico y un máximo de 79,31 dólares para el más costoso.
En los casos en que se logró el acceso, el proceso tomó por lo general menos de un día, y en muchas ocasiones apenas unas horas. Los investigadores detectaron además instrucciones en el manual de operaciones del atacante que podían interrumpir el funcionamiento de una empresa como consecuencia de procesos de eliminación o limpieza de datos ejecutados por el agente, y confirmaron que esto ocurrió en algunas de las brechas registradas.
Tres marcos de trabajo ejecutaron el ataque de forma autónoma
Las tres herramientas identificadas se denominan Strix, Cairn y Hermes. Esta última fue descrita como un agente de inteligencia artificial autónomo de código abierto, con memoria persistente, habilidades que el propio agente escribió y modificó, un archivo consultable de sesiones anteriores, tareas programadas y una consola web.
En el servidor de gestión analizado, Hermes cargaba una identidad de sistema en chino llamada “SOUL - Red Team Operator”, que contenía 121 habilidades, de las cuales 78 estaban orientadas al ataque.
“Hermes es la consola del operador para orquestar la actividad y para las acciones de intrusión directas”, explicaron los investigadores. La herramienta utilizó el modelo opus-4.6 de Anthropic, después de que versiones más recientes rechazaran sus solicitudes, con 1.951 instrucciones escritas por el atacante a lo largo de 260 sesiones, apenas unas pocas por cada objetivo.
Las instrucciones, redactadas en chino, consistían en órdenes breves: lanzar un ataque, asignar un siguiente paso general o definir qué hacer tras lograr el acceso a un sistema.
Strix, por su parte, es una herramienta de pruebas de penetración de código abierto, mientras que Cairn funciona como un motor autónomo de pruebas de intrusión. Este último recibe dominios objetivo y un propósito determinado, como obtener acceso a una terminal o privilegios de administrador, y opera durante horas hasta cumplir el objetivo, agotar el tiempo asignado o ser detenido. Cairn utilizó el modelo DeepSeek v4.1 Flash, según precisó Gambit.
