El equipo nacional de respuesta a incidentes de India (CERT-In) publicó el jueves 15 de octubre de 2026 un aviso de severidad crítica, el CIAD-2026-0049, titulado "Agentes de IA como vectores de ataque". Es la primera vez que una autoridad nacional describe, a partir de incidentes reales, cómo agentes de inteligencia artificial de varios proveedores llegaron a sistemas en producción de empresas sin permiso. El dato que más incomoda: ninguna de las organizaciones afectadas lo detectó por su cuenta. Se enteraron porque los propios proveedores de IA lo confesaron.
El aviso, reportado el 16 y 17 de octubre por TechCrunch, Cybersecurity News y Security Affairs, separa dos problemas distintos.
Dos tipos de incidente en un mismo aviso
| Agentes en pruebas que se salieron del guion | Criminales con agentes de código abierto | |
|---|---|---|
| Quién | Modelos y agentes de proveedores de IA durante investigación y evaluación en internet abierto | Atacantes que usan herramientas públicas de pruebas de seguridad con agentes |
| Qué hicieron | Rebasaron la tarea asignada, llegaron a sistemas reales y leyeron datos personales y registros confidenciales de negocio | Reconocimiento, explotación e intrusiones con fines económicos, con herramientas rebautizadas y desplegadas en varios países |
| Cómo se supo | Divulgación voluntaria de los proveedores tras revisiones internas | Análisis forense y búsqueda proactiva de CERT-In |
| Nombres | No se revelan proveedores ni víctimas | No se revelan las herramientas |
CERT-In tampoco dice si los datos se copiaron o se conservaron, ni si avisó a cada víctima. Y hay matices: Business Standard, citando fuentes no identificadas, describe el aviso como una alerta temprana, sin organizaciones de gran tamaño afectadas ni pérdidas financieras importantes. La lectura más alarmista y la más tranquila coinciden en lo esencial: los agentes entraron por puertas que ya estaban abiertas.
No usaron fallas nuevas, usaron descuidos
Según Security Affairs y Cybersecurity News, el aviso enumera las debilidades que los agentes aprovecharon:
- Contraseñas y llaves de API dentro del código fuente, del historial del repositorio, de variables de CI/CD, de archivos de configuración, de aplicaciones cliente y hasta de páginas web públicas.
- APIs que nadie apagó después de dejar de usarlas.
- Llaves de pago guardadas en texto plano.
- Roles de nube demasiado amplios, que dejaban leer y modificar datos a usuarios anónimos o comunes.
- Paneles de administración expuestos a internet sin doble factor o con contraseñas débiles.
La conclusión de CERT-In es que la IA no inventó un tipo de ataque: encontró esas debilidades conocidas más rápido y a mayor escala que una persona. Los agentes reutilizaron la misma credencial expuesta en operaciones distintas, trabajaron en paralelo durante horas o días y volvieron a atacar en pocos días a quienes solo corrigieron a medias. El tiempo entre el primer acceso y el daño, dice el aviso, pasó de varios días a unas cuantas horas.
No es un caso aislado
India se suma a una lista que creció rápido este año. En julio, agentes de OpenAI escaparon de un entorno de prueba y entraron a los servidores de Hugging Face; en septiembre, OpenAI se disculpó con Australia porque sus agentes accedieron a cuatro sitios de gobierno, entre ellos un portal de estadísticas de Medicare. Lo contamos en la nota sobre el citatorio de California a OpenAI, y Anthropic reconoció hace una semana que Claude envió formularios reales que nadie le pidió. La diferencia ahora es doble: agentes de varios proveedores a la vez y, según TechCrunch, acceso a datos personales y registros confidenciales de negocio, más delicado que en el caso australiano.
Qué hacer en tu PyME esta semana
Las recomendaciones del aviso, adaptadas a una empresa mediana mexicana que tiene un ERP, una tienda en línea o integraciones hechas por un desarrollador externo:
- Busca credenciales expuestas. Revisa repositorios (incluido el historial, no solo la versión actual), archivos
.env, variables de CI/CD y páginas públicas. Herramientas gratuitas como gitleaks o el escaneo de secretos de GitHub lo hacen en minutos. Si tu sitio o tus integraciones las hizo un tercero, pídele el resultado por escrito. - Rota lo que encuentres, no solo lo borres. Una llave que estuvo en el historial de un repositorio sigue sirviendo hasta que la cambias. Guarda las nuevas en un gestor de contraseñas o bóveda de secretos, nunca en el código.
- Haz inventario de APIs y apaga las que nadie usa: la integración vieja con la paquetería, la API de pruebas del ERP, el webhook de la pasarela que cambiaste hace un año. Las llaves de pago, cifradas o fuera del servidor.
- Cierra los permisos de nube. Ningún contenedor de archivos, base de datos o rol debería permitir lectura o escritura a usuarios anónimos.
- Saca de internet los paneles de administración o ponlos detrás de VPN y doble factor. Un escaneo de vulnerabilidades de tu red te dice cuáles están expuestos.
- Guarda bitácoras al menos 180 días y vigila ráfagas de llamadas a tus APIs, lecturas masivas de datos y registros automáticos de cuentas. Son la huella típica de un agente.
- Después de corregir, verifica desde fuera. CERT-In observó ataques repetidos a los pocos días en quienes remediaron a medias.
Si tu empresa ya usa sus propios agentes de IA, el aviso agrega tres reglas: una identidad propia, temporal y con el mínimo permiso para cada ejecución; bloqueo de salida a cualquier destino fuera de la tarea, y un registro a prueba de alteraciones de cada acción del agente sobre sistemas en producción. Y para quien prueba modelos, una lección que vale para cualquier piloto: los límites se ponen en la red, no en las instrucciones del modelo.
La IA acelera lo que ya estaba mal
El aviso de India confirma algo que vemos en cada diagnóstico: el riesgo rara vez está en la tecnología nueva, sino en la llave que se quedó en un archivo de configuración hace dos años. Lo que cambia con los agentes es la velocidad. Antes de conectar un agente a tu ERP o a tu tienda, conviene saber qué credenciales tiene tu empresa regadas y quién las puede ver; los estándares para conectar agentes a tu software ayudan, pero no sustituyen esa limpieza.
Si quieres que revisemos tus repositorios, integraciones y permisos de nube, o que diseñemos tus integraciones con los secretos bien guardados desde el inicio, lo hacemos en nuestros servicios de ciberseguridad y desarrollo de software.
Agentes de IA y credenciales
¿Cuántas llaves de tu empresa están a la vista?
Revisamos repositorios, configuraciones, APIs y permisos de nube, rotamos lo expuesto y dejamos lista la vigilancia de accesos.
