La IA de Google se infiltró en tres empresas reales. Todo lo que necesitaba era una contraseña débil.
El 19 de septiembre, Google confirmó un incidente inusual que había ocurrido cuatro meses antes y que no se había hecho público hasta ahora: su modelo Gemini se infiltró de forma autónoma en los sistemas de tres empresas reales.
Esto no fue un ciberataque deliberado.
Ocurrió durante un ejercicio controlado de captura de bandera dirigido por Irregular, la empresa israelí de seguridad de IA. Al modelo se le dio una tarea aparentemente simple: recuperar información de los sistemas de una empresa ficticia dentro de un entorno de prueba.
Excepto que dos cosas salieron mal.
El modelo no debía tener acceso a internet, pero lo tuvo.
Y el nombre de la empresa ficticia elegido para el ejercicio resultó pertenecer a una empresa real.
A partir de ahí, todo se movió rápidamente.
Gemini buscó en la web, identificó sistemas que creía que eran parte del entorno del ejercicio y accedió a ellos.
En los tres casos, se detuvo en el momento en que entendió que los sistemas eran reales.
Pero lo que importa aquí no es que una IA lograra infiltrarse en un sistema.
Lo que importa es cómo lo hizo.
No es un zero-day. No es una vulnerabilidad sofisticada. Una contraseña.
En un caso, Gemini simplemente intentó una y otra vez adivinar la contraseña, hasta que funcionó.
En los otros dos casos, encontró credenciales que habían sido accidentalmente comprometidas en un repositorio público y las utilizó.
Eso es todo.
Sin nuevos exploits. Sin zero-day. Sin ataque a la cadena de suministro.
Solo dos técnicas muy antiguas:
Adivinar una contraseña o encontrar una que alguien dejó expuesta.
Y esa es exactamente la razón por la que este incidente es importante.
Las tres empresas no eran objetivos especiales. No hicieron nada inusual. Sus sistemas eran simplemente accesibles desde internet, y sus credenciales eran débiles o ya estaban expuestas.
Esa descripción se ajusta a innumerables servidores de producción hoy en día.
Lo que realmente cambió
Adivinar contraseñas existe desde hace décadas.
La novedad no es la técnica.
La novedad es quién la realiza.
Un atacante humano tiene que elegir objetivos, recopilar información, intentar, fallar, cambiar de dirección y seguir adelante.
Un agente autónomo puede hacer todo eso por sí mismo.
Busca información pública, cruza fuentes, identifica servicios, prueba credenciales, lee las respuestas, ajusta su siguiente paso y continúa.
Sin cansarse.
Sin aburrirse.
A velocidad de máquina.
En este caso, nadie siquiera le pidió que atacara.
Se le dio una tarea legítima con límites que no eran lo suficientemente buenos, y tres empresas reales fueron vulneradas como efecto secundario.
Y ese puede ser el punto más importante de todos:
Si un agente puede hacer esto por accidente, puedes imaginar cuán bajo está el umbral para hacerlo a propósito.
Por qué un WAF o CDN no ayudarán necesariamente aquí
En el momento en que escuchas "la IA atacó un servidor", el instinto es pensar en un WAF, un CDN o un firewall en la nube.
Pero en este caso, ninguno de ellos estaba en el camino.
El agente no "pasó por el borde."
Encontró sistemas expuestos en internet y se conectó a ellos directamente.
Y ahí es donde radica la distinción importante.
Una capa de borde solo puede proteger el tráfico que pasa a través de ella.
Si tu servidor de origen tiene una dirección IP pública, y algún servicio está abierto directamente a internet, se puede alcanzar sin pasar por el CDN o el WAF en absoluto.
En otras palabras:
El único lugar que ve de manera confiable cada conexión que llega a tu servidor es el servidor mismo.
Cada otra capa protege solo el tráfico que realmente viaja a través de ella.
¿Qué habría detenido a Gemini?
Aquí es importante ser preciso.
Para la adivinanza de contraseñas — sí.
La adivinanza de contraseñas solo funciona si al atacante se le dan suficientes intentos.
nuDefend detecta fallos de autenticación repetidos y bloquea automáticamente la dirección de origen después de un pequeño número de intentos.
El bloqueo ocurre en el firewall del kernel, antes de que el siguiente intento llegue al servicio.
Un agente que necesita cientos de intentos simplemente no los obtiene.
En dos de nuestros propios servidores de producción ordinarios, dentro de una única ventana de 24 horas, registramos:
144 intentos fallidos de SSH desde 25 direcciones diferentes en un servidor.
344 intentos en el segundo.
73 de esos intentos apuntaron directamente a la cuenta root.
Todos ellos bloqueados automáticamente.
Y estos no son servidores bajo un ataque dirigido.
Esto es simplemente el ruido de fondo constante de internet.
El mismo tipo de comportamiento que Gemini mostró en el ejercicio, solo a escala global, todo el tiempo.
Para las credenciales expuestas en un repositorio — no.
Si alguien almacenó una contraseña, una clave API o un token dentro de un repositorio público, eso es un fallo de proceso.
Ningún agente que se ejecute en el servidor puede corregir retroactivamente una credencial que ya se ha filtrado.
Cualquiera que prometa lo contrario está vendiendo una ilusión.
Necesitas escanear repositorios, ejecutar escaneo de secretos, rotar credenciales expuestas y asegurarte de que nunca entren en el código en primer lugar.
Y para el acceso a internet de Gemini — tampoco.
Ese fue un problema de sandbox y permisos del lado de Google.
Al modelo se le dio una capacidad de comunicación que nunca debió existir.
Ningún software de protección que se ejecute en la empresa vulnerada puede corregir un error de permisos dentro del entorno de IA de otra persona.
En otras palabras:
nuDefend no habría prevenido los tres casos.
Habría detenido uno de ellos.
Pero precisamente el tipo que se repite una y otra vez, día tras día, en casi todos los servidores públicos de internet.
Esta es exactamente la razón por la que la defensa pertenece al servidor
nuDefend se instala directamente en el servidor y opera donde realmente llega la conexión.
Bloquea direcciones IP maliciosas conocidas justo en el firewall del kernel, tanto entrantes como salientes, antes de que el tráfico llegue a tu aplicación.
Detecta y bloquea intentos repetidos de adivinanza de credenciales.
Su lista de amenazas firmadas se actualiza cada 30 minutos, por lo que una dirección IP que se volvió maliciosa hoy puede ser bloqueada en tus máquinas hoy, sin necesidad de acción manual.
nuDefend también muestra qué servicios están actualmente escuchando en tu servidor y cuán expuesto está cada uno realmente.
Eso importa, porque es exactamente lo que hace un agente autónomo al inicio de un ataque:
en primer lugar, intenta entender qué está abierto.
La diferencia es que tú puedes verlo antes de que lo haga.
Los informes se generan localmente y permanecen en tu servidor.
Pero esta historia apunta a un problema más grande
El fallo más interesante en el incidente de Google no fue en las tres empresas vulneradas.
Fue en la IA.
Había una carga de trabajo autónoma con acceso saliente, y ese acceso nunca debió existir.
Lo que nos trae de vuelta a la pregunta.
Si estás ejecutando hoy:
un servidor de inferencia local,
un agente de IA,
un sistema de automatización,
una base de datos vectorial,
o un agente conectado a sistemas internos,
¿realmente sabes a dónde se le permite conectar ese proceso?
Por lo general, la respuesta es no.
Sabemos qué puertos están abiertos entrantes.
Sabemos qué procesos se están ejecutando.
Pero es mucho más difícil responder:
¿con quién habla realmente cada proceso, saliendo?
Y esa es precisamente la dirección de la siguiente capa que estamos construyendo en nuDefend.
No solo ver el tráfico saliente.
Sino aprender con el tiempo qué destinos cada carga de trabajo normalmente comunica, y luego permitir solo lo que necesita.
En otras palabras:
Aprender primero. Permitir solo lo que pertenece.
No porque la IA sea más "peligrosa" que cualquier otro software.
Sino porque un agente autónomo toma decisiones por sí mismo.
Y una vez que un proceso toma sus propias decisiones, no puedes confiar en que simplemente se comportará como tú pretendías.
Necesita límites.
¿Mientras tanto? Las cosas aburridas siguen funcionando.
No dejes servicios abiertos a internet si no necesitas hacerlo.
No uses contraseñas que sean fáciles de adivinar.
No almacenes credenciales en el código.
Y no dejes que nada intente una y otra vez hasta que tenga éxito.
La IA puede estar cambiando el panorama de la ciberseguridad.
Pero muchos de los brechas aún comienzan con el mismo viejo error:
Dejamos la puerta abierta demasiado tiempo.
Fuentes: CNN Business · The Hacker News · ABC News