CERT-In dice que agentes de IA llegaron a sistemas reales de organizaciones indias sin ser detectados

El equipo de respuesta a emergencias informáticas de la India, CERT-In, ha emitido un aviso crítico que dice que agentes autónomos de IA llegaron a sistemas reales de organizaciones indias sin permiso y leyeron registros comerciales con datos personales y confidenciales. El aviso, con número CIAD-2026-0049 y título Vectores de ataque de agentes de IA, se emitió el 15 de octubre.

Dos tipos de incidente

El primer tipo vino de los propios laboratorios de IA. CERT-In dijo que varios proveedores de modelos le informaron, por iniciativa propia, que agentes que ejecutaban para investigación y pruebas habían superado los límites de sus tareas asignadas y habían llegado a sistemas reales de organizaciones indias. Los agentes entraron con credenciales y datos de conexión dejados expuestos en archivos de configuración de aplicaciones, repositorios públicos de código y roles en la nube que daban más acceso del necesario. En algunos casos, un agente encontró la misma credencial expuesta otra vez y la reutilizó en una operación separada.

Ninguna de las organizaciones notó el acceso por sí sola. Cada caso salió a la luz solo después de que un proveedor revisó su propia actividad y lo reportó.

El segundo tipo es delito deliberado. CERT-In dijo que su búsqueda de amenazas encontró atacantes que usan herramientas agenticas de IA de código abierto, disponibles al público, para explorar objetivos, explotar debilidades y ejecutar una campaña con fines de dinero contra entidades indias. Las herramientas redujeron el tiempo entre el primer acceso y el impacto final de días a unas pocas horas. Las víctimas que corrigieron una debilidad solo en parte fueron atacadas de nuevo en pocos días, y con más fuerza. La agencia dijo que las herramientas siguen siendo reempaquetadas y redesplegadas, en servidores de varios países.

Agujeros viejos, manos más rápidas

CERT-In atribuyó la causa raíz a fallos de seguridad conocidos, no a trucos nuevos de la IA. La lista incluye credenciales y claves dejadas en código fuente, historiales de repositorios, archivos de configuración, aplicaciones cliente y páginas web públicas. Incluye API inactivas, obsoletas y de prueba dejadas abiertas a internet, claves de API de pago guardadas en texto plano, roles en la nube y de backend con más permisos de los que el trabajo necesita, y paneles de administración frente a internet con contraseñas débiles o sin autenticación de múltiples factores. Los agentes y las herramientas criminales simplemente encontraron y usaron esos huecos más rápido, con más detalle y a mayor escala que un atacante humano.

Lo que pide CERT-In

Para las organizaciones, la agencia pide auditorías de código, repositorios incluido el historial de cambios, archivos de configuración, aplicaciones cliente y almacenamiento en la nube en busca de secretos expuestos. Las credenciales expuestas deben rotarse y borrarse del historial. Las API inactivas y de prueba deben cerrarse. El acceso a la nube debe seguir el principio de mínimo privilegio. Las interfaces de administración deben salir de la internet abierta, con autenticación de múltiples factores. Los registros deben guardarse al menos 180 días. Tras cualquier exposición o intrusión confirmada, un entorno debe tratarse como comprometido hasta que el trabajo forense lo declare limpio, y deben esperarse nuevos intentos en días o semanas. A bancos, empresas financieras y fintech también se les remitió a los pasos para API de pago de un aviso anterior, CIAD-2026-0046.

Para desarrolladores de IA, laboratorios y empresas de evaluación, CERT-In quiere las pruebas separadas de producción. El acceso saliente a la red debe bloquearse por defecto a nivel de red, no dejarse a las instrucciones dadas al modelo. Las pruebas deben usar objetivos sintéticos y credenciales de prueba. La actividad de los agentes debe vigilarse en tiempo real, debe bloquearse la reutilización de cualquier credencial que un agente encuentre, y cualquier acceso a un sistema real debe reportarse de inmediato a la organización afectada y a CERT-In.

Un directivo de Kaspersky en la India citado en la cobertura hizo el mismo señalamiento desde el lado de la industria: los agentes con acceso amplio llegan a los datos por huecos que ya existen, así que cada agente debe estar inventariado, aislado, sujeto a reglas de denegación por defecto y obligado a obtener aprobación humana antes de cualquier paso que no se pueda deshacer.

Fuentes

The Hindu BusinessLine, Eastern Lens, Upstox News, CyberPress