Todo el sector lleva un año vendiéndote el mismo sueño: un agente de IA que trabaja como un becario incansable, sin sueldo, sin quejas y sin fines de semana. Buena noticia: existe. Mala noticia: el otro bando también lo ha fichado. En una intrusión real a un ministerio, alguien dejó a una IA haciendo el trabajo sucio del ataque en modo desatendido mientras, presumiblemente, se iba a dormir.
Lo contamos con la voz que usamos siempre: sin alarmismo y sin humo. Porque cuando se lee la letra pequeña de este caso, la conclusión no es "viene el apocalipsis de la IA". Es algo más incómodo y más útil: la IA no rompió nada nuevo. Rompió lo de siempre, pero más rápido y sin cansarse. Y eso sí cambia una cosa concreta en tu defensa.
Qué pasó (y qué no está confirmado)
La firma de inteligencia de amenazas Hunt.io y el investigador Bob Diachenko encontraron, entre el 9 y el 13 de julio de 2026, varios directorios web abiertos —con el listado de ficheros activado, el clásico error de dejar la puerta entornada— en un servidor de preparación del atacante. Dentro había 585 ficheros y 470 MB de herramientas de ataque y credenciales robadas relacionadas con una intrusión en la Oficina del Secretario Permanente del Ministerio de Finanzas de Tailandia.
Lo que hace este caso distinto no es el objetivo ni la técnica: es que entre esas herramientas había registros de un agente de IA de código abierto ejecutándose en modo "YOLO" —así se llama, sin ironía, el modo que desactiva las peticiones de confirmación humana antes de lanzar comandos peligrosos—. En cristiano: el operador le dio objetivos y herramientas al agente y lo dejó actuar solo, sin aprobar cada paso.
La honestidad primero: el Ministerio de Finanzas de Tailandia no ha confirmado la brecha. La atribución es de confianza baja-media hacia un operador de habla china (por artefactos en chino, infraestructura alojada en Hong Kong e indicios ligados al conocido ShadowPad), sin señalar a ningún grupo. Y no consta que se robaran datos: se vio acceso a ficheros, no exfiltración probada. Contamos lo que los investigadores documentaron, ni una coma más.
Lo que la IA hizo de verdad — y lo que no
Según los registros, el agente se encargó de la parte repetitiva y tediosa de la post-explotación —la fase que empieza después de haber entrado—: enumerar hosts y servicios de la red, rastrear el sistema de ficheros, lanzar LinPEAS (el script de referencia para buscar vías de escalada en Linux), escanear vulnerabilidades del kernel, cazar binarios con permisos especiales (SUID/SGID) y catalogar registros de personal. Trabajo de becario de pentesting, hecho en bucle y sin quejarse.
Ahora el matiz que lo pone todo en su sitio, y que los propios investigadores subrayan: el humano hizo las partes que requieren conocer el objetivo. Diseñar la lista de contraseñas con abreviaturas de los departamentos del ministerio, decidir qué sistemas valían la pena, entender la topología… eso lo puso una persona. La IA no tuvo una idea brillante; ejecutó órdenes rápido. Es una motosierra, no un estratega. Peligrosa, sí, pero por lo que acelera, no por lo que "piensa".
Lo que sí cambia: la ventana se encoge
Entre "un atacante está dentro" y "un atacante lo tiene todo" hay un intervalo. Ese intervalo —el tiempo que tardan en orientarse, enumerar, encontrar la vía de escalada y saltar al siguiente sistema— es tu ventana para detectarlo y echarlo. Tradicionalmente jugaba a favor del defensor: enumerar bien una red lleva horas o días de trabajo manual, y el atacante se cansa, se despista o hace ruido.
La automatización con IA comprime esa ventana. Lo que a un operador humano le llevaba una tarde entera, el agente lo hace en un rato, en paralelo, de madrugada y sin perder el hilo. No es que el ataque sea más ingenioso: es que llega antes al final. Y si tu detección depende de que alguien mire un panel en horario de oficina, la carrera la pierdes por calendario, no por talento. Esa es la lección operativa, y no es teórica.
El detalle que nadie quiere oír: entró por lo de siempre
Aquí está la parte que desinfla el titular apocalíptico. La IA fue rápida, pero encontró las puertas abiertas de siempre. Los investigadores documentan que la cadena se apoyó en cosas de manual básico:
- → Un servidor de datos (HiveServer2, del ecosistema Hadoop) con la autenticación puesta en NONE: aceptaba cualquier usuario y cualquier contraseña. La puerta no estaba forzada; estaba abierta.
- → Vulnerabilidades de escalada de privilegios de 2021 sin parchear —Sudo (CVE-2021-3156) y PwnKit (CVE-2021-4034)— y una de IIS de 2017. Cinco y nueve años viejas. El parche existe desde hace entre cinco y nueve años.
- → Servicios internos expuestos y una topología que el atacante conocía al detalle. La IA no adivinó nada mágico: recorrió lo que ya estaba mal puesto.
Traducido a tu empresa: si te preocupa que una IA te ataque pero tienes un servicio con autenticación en NONE o un servidor sin parchear desde 2021, la IA es el menor de tus problemas. Es como preocuparse por un ladrón con drones cuando dejas la llave bajo el felpudo.
Qué haríamos
El plan no cambia de disciplina, cambia de reloj. Como el atacante va más rápido, hay que quitarle terreno que enumerar y acortar tu tiempo de reacción. En orden:
- 1. Cierra las puertas abiertas primero. Ningún servicio con autenticación en NONE ni credenciales por defecto. Parchea lo explotable y expuesto —el kernel y los servicios de cara a la red van antes que la ofimática—. Esto le quita a cualquier agente, humano o artificial, la mitad del guion.
- 2. Reduce lo que hay que enumerar. Privilegio mínimo, segmentación de red y menos servicios internos alcanzables desde cualquier sitio. Cuanto menos vea el que entra, menos puede automatizar el salto al siguiente sistema.
- 3. Detecta a la velocidad del atacante. El barrido de enumeración y escalada automatizado es ruidoso —muchos comandos, muchas conexiones, en poco tiempo—. Eso es detectable, pero solo si hay algo mirando siempre. Un EDR/MDR gestionado con un SOC detrás convierte ese ruido en una alerta y una respuesta, no en un informe que lees el lunes.
- 4. Trata tus propios agentes de IA como lo que son. Si internamente usas agentes para automatizar tareas, el modo "sin confirmación" (YOLO) es exactamente el que te muerde a ti también. Privilegio mínimo, credenciales acotadas y registro de lo que hacen: la automatización con IA se gobierna igual que a un empleado nuevo con muchas prisas.
Lo que NO haríamos
- ✕ Comprar corriendo un producto "anti-IA" porque el titular da miedo. El ataque usó herramientas conocidas contra fallos conocidos. Lo que te defiende es lo de siempre hecho bien y rápido, no una caja nueva con la etiqueta de moda.
- ✕ Prohibir la IA en la empresa "por si acaso". La herramienta no es el problema; el modo desatendido sin controles y sin privilegio mínimo lo es. Se gobierna, no se prohíbe.
- ✕ Quedarnos con "esto le pasa a un ministerio lejano". El error de base —autenticación en NONE, CVEs de 2021, servicios expuestos— es exactamente el mismo que encontramos en pymes cada semana. El objetivo cambia; la puerta abierta, no.
El fondo: la IA multiplica al que ya era disciplinado
La IA no le dio superpoderes a un atacante torpe: le dio velocidad a uno que ya sabía lo que hacía. Es un multiplicador, y multiplica en los dos sentidos. Multiplica al que tiene la casa ordenada —parches al día, privilegio mínimo, alguien vigilando— porque le da más tiempo de reacción del que cree. Y castiga al que la tiene desordenada, porque ahora el que entra recorre el desorden más rápido.
Por eso nuestra respuesta a "¿y si me ataca una IA?" es la misma de siempre, con el reloj más apretado: cierra lo que está abierto, reduce lo que se puede enumerar y ten a alguien —o algo— mirando de verdad las 24 horas. No es un eslogan de ciberseguridad: es que el otro bando ya trabaja en turno de noche, y tu defensa no puede fichar solo de 9 a 6.
En everyWAN no vendemos licencias de nadie ni cajas milagrosas: montamos y operamos detección y respuesta gestionada con vigilancia continua, y auditamos lo que ya tienes para cerrar las puertas abiertas antes de que las recorra nadie —humano o no—. La parte aburrida, hecha bien, sigue siendo la que gana.
Fuentes (verificadas): investigación original, cronología (directorios abiertos 9-13 jul, publicación tras ventana de 7 días), 585 ficheros / 470 MB, agente de IA en modo desatendido "YOLO", tareas automatizadas (enumeración, LinPEAS, escaneo de kernel, SUID/SGID) y atribución de confianza baja-media — Hunt.io y Bob Diachenko; verificación, "el humano hizo las partes que requieren conocer el objetivo", HiveServer2 con autenticación NONE, CVE-2021-3156, CVE-2021-4034, CVE-2017-7269 — The Hacker News y BleepingComputer. El Ministerio de Finanzas de Tailandia no ha confirmado la brecha; no consta exfiltración de datos probada.
Si un atacante entrara esta madrugada, ¿quién lo vería?
En everyWAN operamos EDR/MDR gestionado con vigilancia continua y auditamos tu postura de seguridad sin vender licencias de nadie: te decimos qué puerta está abierta y qué mueve la aguja. Hablemos antes de que sea un incidente.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN