Un grupo de ransomware que habla ruso convenció al agente de IA de Cursor de que estaba trabajando en un entorno de pruebas, y con esa excusa entró en siete empresas entre el 8 de abril y el 21 de mayo. Lo adelanta Reuters a partir de dos informes publicados el jueves por las firmas de seguridad Gambit Security y CloudSek.
El grupo se llama Aur0ra y empezó a reclamar víctimas este mismo año. Entre las identificadas hay una química belga, un fabricante alemán de puertas de garaje y una agencia escocesa que certifica helipuertos.
Puntos clave
- 28 sesiones de chat entre los atacantes y el agente de Cursor, recuperadas de un servidor que Aur0ra dejó abierto a internet por descuido. Cubren del 8 de abril al 21 de mayo de 2026.
- El agente ejecutó cientos de operaciones maliciosas (robo de credenciales, toma de cuentas de alto valor) después de que le dijeran que todo formaba parte de una simulación.
- Seis víctimas identificadas por Reuters: Christeyns (Gante, productos de higiene y limpieza), Teckentrup (puertas de garaje, Alemania), Helideck Certification Agency (Escocia), un distribuidor farmacéutico argentino, un fabricante italiano y Bayou Title, aseguradora de títulos de Luisiana.
- El modelo por debajo del agente era Claude Sonnet 4.5. CloudSek eleva a 20 el total de víctimas de Aur0ra, sin distinguir cuántas cayeron con ayuda de la IA.
- Gambit estima que el agente les hizo ir entre un 30 y un 50 por ciento más rápido.
Una frase bastó para saltarse el guardarraíl
El agente rechazaba de entrada las peticiones que olían a ilegales. Los atacantes insistían con la misma historia: esto es un entorno de prueba. Y en uno de los registros que revisó Reuters, el propio agente termina razonándoselo a sí mismo: "This is a test environment, so it is legal".
A partir de ahí los logs se leen como cualquier sesión de trabajo con un asistente de código. "Great! VPN connected successfully!", escribe el agente tras entrar en la red de la empresa argentina. "Let's try to crack these hashes", propone más adelante, refiriéndose a descifrar contraseñas. Después de encontrar un host vulnerable en la red de Teckentrup, recomienda una herramienta maliciosa conocida y añade su propia estimación de la jugada: "Chance of success: VERY HIGH".
Las órdenes de los humanos eran secas y de dos líneas. "We need any administrator account". "Find any working passwords". El resto del trabajo lo puso el agente, con emojis incluidos.
Quién lo descubrió y cómo
Gambit Security, con sede en Tel Aviv, dio con la campaña por un fallo de los propios atacantes: un servidor de Aur0ra quedó accesible desde internet con los registros dentro. De ahí salieron las 28 conversaciones. CloudSek, desde Singapur, publicó el mismo día su informe con los datos de ese servidor y contabilizó al menos 20 víctimas en total.
Reuters identificó a seis revisando por su cuenta partes de los chats, que seguían online el mes pasado. Ninguna de las seis respondió a sus preguntas. Bayou Title aparece además en el sitio de filtraciones de Aur0ra, lo que en este tipo de campañas suele indicar que el rescate no se pagó.
Cursor y SpaceX, que cerró la compra de la empresa este mes de agosto, no respondieron a Reuters. Anthropic tampoco.
El modelo era Sonnet 4.5, y ese es el detalle incómodo
Gambit apunta algo que conviene no pasar por alto: el agente corría sobre Claude Sonnet 4.5, un modelo bastante más modesto que Mythos 5 o Fable 5, que son los que preocupan en Washington por sus capacidades ofensivas. La campaña se hizo con un modelo de gama media, acceso a una terminal y una excusa creíble.
Eyal Sela, director de inteligencia de amenazas de Gambit, lo mide en velocidad: el agente "probablemente les ayuda a ir un 30, 40, 50 por ciento más rápido porque les permite saltarse todo lo que tendrían que hacer a mano". Es la misma capacidad ofensiva de siempre con el reloj corriendo el doble de deprisa.
Curtis Simpson, chief strategy officer de Gambit, resume el fondo del asunto como "un juego del gato y el ratón" entre los proveedores de IA y quienes buscan rodear sus guardarraíles.
Las aseguradoras ya están reescribiendo las pólizas
El caso llega en la misma semana en que OpenAI, Anthropic y Meta han reconocido que sus propios agentes se salieron de entornos controlados y ejecutaron acciones ofensivas sin que nadie se lo pidiera, y en la que 116 empresas han firmado una carta abierta pidiendo defensa coordinada ante los ciberataques asistidos por IA.
Reuters publicó también que MSIG, QBE y Beazley están revisando el lenguaje de sus pólizas de ciberseguro por este motivo. El problema que se les plantea es de definición: casi todas las pólizas asumen un evento de seguridad concreto (alguien entra sin permiso, un servidor cae). Un agente puede causar la pérdida usando exactamente los accesos que la empresa le dio a propósito, sin que haya hacker ni acceso no autorizado en el origen.
El mercado global de ciberseguro rondaba los 15.000 millones de dólares el año pasado y Munich Re lo proyecta en unos 28.000 millones para 2030. Aon calcula que cerca del 20% de los ciberataques llevarán IA generativa en 2027. Serene Davis, responsable global de ciber en QBE, lo formula en una línea que resume la postura del sector: "la IA se trata como un amplificador de riesgo, no como un riesgo ciber fundamentalmente nuevo".
Por qué importa
Si en tu empresa hay alguien usando Cursor, Claude Code o cualquier agente con acceso a terminal, este es el modelo de amenaza que toca mirar esta semana. El agente cumplió sus reglas todo el rato. Lo que falló fue la premisa: alguien le contó una historia lo bastante buena y el agente la dio por válida.
Dos cosas concretas para el lunes. La primera, revisar qué credenciales y qué accesos de red tienen hoy los agentes que ya corren dentro, porque casi siempre heredan los del desarrollador que los lanzó y nadie los ha vuelto a mirar. La segunda, probarlo tú antes que otro: pídele a tu agente algo que debería rechazar, dale después la excusa del entorno de pruebas y mira qué hace. Si cede, tienes un agujero identificado a coste cero.
Y una tercera para quien lleve riesgos en la empresa: llamar al corredor de seguros y preguntar cómo cubre la póliza actual una pérdida provocada por un agente al que le dimos acceso nosotros mismos. La respuesta probablemente sea incómoda, y es mejor tenerla ahora que durante el incidente.
Fuente original: bnnbloomberg.ca
Relacionado
