El atacante ya no duerme: agentes ofensivos y la defensa que llega tarde

Tres incidentes en cuarenta y ocho horas cuentan la misma historia desde tres ángulos. Chainalysis confirmó que un actor externo usó técnicas agentivas ofensivas para entrar a sus herramientas internas. Una campaña asistida por IA encadenó dos fallas de PHP con una del kernel de Linux para tomar como root 25 firewalls. Y en Binance, el mayor robo de la historia cripto no empezó con una clave privada: empezó con la laptop de un ingeniero de DevOps. Ninguno de los tres se resolvió con un firewall. Los tres se explican por la misma variable: velocidad.

Chainalysis: cuando el que escanea no es una persona

El viernes, Chainalysis —la firma que buena parte de la industria usa para rastrear fondos ilícitos— confirmó una intrusión en sus sistemas y herramientas internas. La frase importa por lo que dice y por cómo lo dice: «This month, Chainalysis detected an external actor using offensive agentic techniques to gain unauthorized access to Chainalysis systems and internal tools». No habla de un exploit nuevo ni de una vulnerabilidad de día cero. Habla de técnicas agentivas ofensivas: software que reconoce, prueba, se adapta y vuelve a intentar sin que nadie esté sentado frente a la pantalla.

El alcance reportado fue limitado: identificadores de usuario, nombres completos, correos y etiquetas de rol. La empresa aseguró que no se comprometieron contenidos de investigaciones, credenciales ni tokens de sesión. Ese detalle merece atención, porque describe una defensa que funcionó a medias: el agente llegó lejos, pero no encontró profundidad. Segmentación, permisos acotados y separación de datos hicieron que una intrusión se quedara en la capa superficial. Es exactamente el tipo de arquitectura que la mayoría de las PYMES no tiene, y por eso su versión del mismo incidente rara vez termina igual de bien.

«La IA mejora los ataques establecidos haciéndolos más rápidos, personalizados y fáciles de escalar.» — Abnormal AI, citado en el reporte del 31 de octubre.

El caso no está aislado. Grupos respaldados por Estados, como Vapor Panda, ya operan marcos agentivos de pentesting —ARTEX entre ellos— capaces de comprometer decenas de objetivos en días. La diferencia con el atacante clásico no es inteligencia; es resistencia. Un humano hace reconocimiento durante horas, se cansa, prioriza y a veces se equivoca. Un agente no. Escanea el mismo rango a las tres de la mañana, prueba la siguiente variante cuando la anterior falla y registra cada resultado en un formato que otro agente puede consumir.

PHP2Shell y Fragnesia: el firewall como puerta trasera

El segundo incidente explica por qué octubre se está despidiendo como «Octubre Negro». Investigadores confirmaron que atacantes con vínculos a China encadenaron PHP2Shell —dos fallas de ejecución remota de código en PHP, CVE-2026-109618 y CVE-2026-109619, con CVSS 9.2— con Fragnesia (CVE-2026-46300), una escalada de privilegios del kernel de Linux. El resultado: control total de firewalls expuestos a internet.

«Esta vulnerabilidad puede encadenarse con CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root.» — CISA.

La combinación es didáctica por lo que revela del ataque moderno. Ninguna de las dos piezas basta por sí sola: la primera da ejecución como el usuario del servidor; la segunda convierte ese usuario en root. Encadenadas, convierten el equipo que todos consideran la frontera de confianza en una posición silenciosa dentro de la red. Un firewall rooteado no necesita romper nada más: ve el tráfico, guarda credenciales de VPN, conoce las rutas y puede hablar con los controladores de dominio. La campaña ya habría extraído credenciales de controladores de dominio y comprometido 25 dispositivos.

Las versiones corregidas existen y no admiten interpretación: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El problema no es la disponibilidad del parche, es el inventario. Los firewalls no se actualizan como una aplicación web: se actualizan en ventana de mantenimiento, con respaldo previo, con prueba de conectividad y con la certeza de que nadie va a perder la VPN a media mañana. Esa fricción es precisamente lo que el atacante mide. La ventana entre la publicación de un PoC y la explotación masiva se ha comprimido a días, y en campañas asistidas por IA se mide en horas.

Binance: la criptografía no falló, falló la laptop

El 30 de octubre Binance confirmó salidas de activos por alrededor de 6,300 millones de dólares desde billeteras calientes en Ethereum, Arbitrum y Avalanche. La compañía destinó 6,340 millones de dólares de sus reservas para cubrir las pérdidas, y socios del ecosistema —Tether, Circle y Ripple— congelaron más de 2,500 millones en fondos robados.

Lo relevante es el vector. No hubo filtración de claves privadas maestras ni un quiebre criptográfico. El origen fue una laptop comprometida de un ingeniero de DevOps, desde la cual los atacantes autorizaron transferencias masivas. Léalo otra vez: el sistema hacía exactamente lo que debía hacer. Recibió una orden de una identidad autenticada, desde un dispositivo de confianza, con una sesión válida. Toda la criptografía del mundo es irrelevante cuando el atacante no la rompe: se sienta detrás de ella.

Ese patrón es el que más debería preocupar a una empresa mediana. No hace falta ser un exchange. Basta con un administrador cuyo portátil tiene la sesión del ERP abierta, el panel de WhatsApp Web sin cerrar y la contraseña del hosting guardada en el navegador. El atacante no necesita una vulnerabilidad: necesita una sesión. Y las sesiones viven en endpoints que casi nadie trata como producción.

La herramienta de IA como vector: Claude Code en Cursor

El cuarto dato cierra el círculo. Una versión maliciosa de la extensión oficial de Claude Code (anthropic.claude-code v2.1.313) se distribuyó en el marketplace de Cursor bajo la identidad del editor de Anthropic. El paquete instalaba una llave SSH llamada svc-telemetry en el archivo authorized_keys, dejando una puerta trasera persistente. Cursor cerró temporalmente su marketplace para purgar el paquete; Anthropic y los registros de extensiones publicaron la versión limpia 2.1.314. Hasta 5,000 entornos de desarrollo habrían quedado expuestos.

Hay una ironía que conviene no disfrutar demasiado: la herramienta que adoptamos para escribir código más rápido terminó siendo el camino más corto hacia la máquina del desarrollador. Y no es casual. Un asistente de IA dentro del editor opera con los permisos del usuario, lee el repositorio, ve el archivo .env, puede ejecutar comandos y, en muchos flujos, puede hacer push. Es el invitado con más privilegios de la casa y el que menos revisamos antes de dejar entrar.

La lección operativa es concreta: verificar el editor y el publicador de cada extensión, fijar versiones en lugar de aceptar actualizaciones automáticas, mantener una lista blanca de extensiones y revisar ~/.ssh/authorized_keys en cada estación de trabajo. Una llave llamada svc-telemetry que nadie recuerda haber instalado no es telemetría: es una puerta.

La asimetría real: no es inteligencia, es tiempo

Los cuatro incidentes comparten una estructura que conviene nombrar. El atacante moderno no gana por ser más listo; gana porque su ciclo es más corto. Reconoce, encadena, persiste y escala en horas. El defensor, en cambio, tiene un ciclo con personas dentro: detectar, validar, priorizar, parchear, verificar y documentar. Cada paso tiene dueño, aprobación y ventana. La IA no volvió mágicos a los atacantes: les quitó la fricción que antes nos daba tiempo.

Ese desfase se ve en la gobernanza. Entre 30% y 40% de las aplicaciones empresariales ya integran agentes de IA, según Deloitte y Gartner, pero menos del 25% de las organizaciones tiene una gobernanza madura sobre ellos. La alianza Oracle-OpenAI para llevar modelos a OCI y el acuerdo de OpenAI, Google, Microsoft y Anthropic para frenar el scraping son señales de que la plataforma se está consolidando. La gobernanza, en cambio, sigue siendo local: se ejerce o no se ejerce en cada empresa.

Por qué pega más fuerte en una PYME mexicana

Una empresa de treinta personas en Veracruz no tiene un SOC, ni un equipo de respuesta, ni presupuesto para uno. Tiene un WordPress con doce plugins, un backend en Node para el cotizador, un script en Python copiado de un tutorial y un bot de WhatsApp con su propio servidor. Cada pieza tiene su cadena de dependencias, su versión de PHP o Node y su propia credencial. Ninguna comparte inventario con las demás.

Ahí la asimetría se vuelve brutal. Reiniciar un backend pequeño toma cuarenta minutos. Recuperar un servidor comprometido —con forense, reconstrucción y comunicación a clientes— rara vez baja de cinco días. La proporción es de 180 a 1, y no hay argumento técnico que justifique quedarse del lado caro. Cuando el atacante es un agente que no duerme, la única defensa realista es automatizar también la parte aburrida: inventario, parcheo, rotación y detección.

Cuatro movimientos para esta semana

No hace falta un programa de seguridad de doscientas páginas. Hacen falta cuatro acciones ejecutables en cinco días hábiles, cada una con dueño y fecha.

Lo que realmente se está discutiendo

La conversación pública sigue atrapada en la pregunta equivocada: qué herramienta comprar. Los incidentes de esta semana no ocurrieron por falta de producto. Ocurrieron en el eslabón donde alguien decidió que no valía la pena mirar: el PHP que nadie actualizó, la laptop que tenía demasiado permiso, la extensión que se instaló sin verificar el publicador. Y ese tipo de fallo se cierra con proceso, no con presupuesto: un inventario, una rotación verificada y un permiso acotado cuestan horas de trabajo, no licencias.

El atacante agéntico no es una película. Es una ventaja temporal que se mide en horas y que se cobra en credenciales. La pregunta no es si vas a automatizar tu defensa, sino si vas a hacerlo antes de que alguien más automatice su ataque contra ti. Eso, y no el firewall, es lo que separa a una empresa que se actualiza de una que aparece en la siguiente noticia.