Agentes de IA autónomos atacan 395 organizaciones en 48 países

Agentes de IA comprometen 395 organizaciones en un ataque automatizado

Un atacante usó cientos de agentes de IA para comprometer 395 organizaciones en 48 países entre el 31 de agosto y el 9 de septiembre. Los agentes construidos sobre OpenAI Codex y DeepSeek escanearon objetivos, escribieron los exploits ellos mismos y ejecutaron el ataque con dirección humana mínima. En una escuela secundaria estadounidense, el atacante progresó de acceso inicial a administrador completo del dominio en siete minutos.

---

La velocidad y escala del ataque marcan un antes y un después

Los números que importan:

• →Once organizaciones en 26 segundos: Los agentes automatizaron completamente el proceso de explotación de dos vulnerabilidades de PaperCut, probaron los exploits en laboratorio y los desplegaron a escala masiva.
• →Acceso de administrador en 12 empresas: Con tiempos de completado entre cinco y 144 minutos, dependiendo de la configuración de Active Directory. El atacante cosechó credenciales con los mismos permisos que un empleado humano, pero sin ninguna supervisión.
• →El 70% de empresas tiene un punto ciego: Solo el 30% de las empresas estadounidenses están mapeando activamente qué agentes de IA tienen acceso a sistemas críticos. En América Latina, apenas el 6% cuenta con criterio claro sobre las decisiones que sus herramientas de IA toman.

---

Tus políticas de seguridad no distinguen entre humanos y agentes

Las credenciales que un agente de IA usa tienen los mismos permisos que las de un empleado, pero actúan a velocidad de máquina y sin pausas. Este ataque demuestra que las políticas tradicionales de gestión de identidad ya no son suficientes cuando las credenciales las usan agentes autónomos.

Panorama general: Convoca esta semana una reunión de 45 minutos con tu responsable de tecnología para responder tres preguntas: ¿Qué credenciales de IA tenemos activas? ¿Quién las controla? ¿Tienen supervisión diferente a la de un humano? Si no sabes la respuesta, estás en el 70% vulnerable. Incluye en el próximo presupuesto una partida específica para políticas de identidad que distingan entre credenciales humanas y de agentes de IA.

---