Un programa de inteligencia artificial que actúa por su cuenta, sin que ningún humano apruebe cada paso, quedó al descubierto. Lo detectó la firma de ciberseguridad Symantec, que lo describe como una herramienta pensada para localizar modelos de IA mal protegidos en internet y usarlos como plataforma para vaciar bases de datos, quedarse con contraseñas e instalar mineros de criptomonedas.

Sus propios operadores lo bautizaron "Skynet", en referencia al sistema que toma el control en la saga Terminator. El hallazgo no salió de una víctima real: Symantec montó un señuelo, un servidor falso que imita un modelo de IA vulnerable, y capturó el paquete completo de instrucciones que un atacante le envió creyendo que era un blanco legítimo.

Hasta 100.000 pasos sin pedir permiso

El agente estaba configurado para encadenar hasta 100.000 acciones sin consultar a ninguna persona. Ese modo, que sus creadores llamaron "modo Skynet", le permitía buscar nuevos objetivos, infectarlos, instalar software de minería y volver sobre los mismos equipos en un ciclo repetido.

Para eso cargaba 74 herramientas distintas: escaneo de internet, explotación de fallas conocidas en aplicaciones como Django, Jupyter o Laravel, volcado de bases de datos y robo de credenciales. Otra pieza apuntaba a los servicios de metadatos en la nube, una puerta habitual para hacerse con las claves de acceso de una organización.

El truco para que un modelo comercial aceptara esas órdenes fue un jailbreak, la técnica que fuerza al sistema a saltear sus propios filtros de seguridad. Los atacantes le presentaban el robo de archivos de configuración y contraseñas como una tarea de programación corriente. Además, le prohibían usar en sus respuestas palabras como "no puedo" o "legal", para que el modelo no se negara ni advirtiera sobre el pedido.

La puerta abierta no es un bug

El ataque no necesita explotar ningún error de software. Alcanza con que el servidor de IA esté conectado a internet sin contraseña. Durante el período analizado, el señuelo de Symantec recibió más de 127.000 solicitudes externas desde decenas de miles de direcciones distintas, en su mayoría dedicadas a rastrear ese tipo de servidores abiertos.

La firma Zenity Labs documentó casos concretos entre marzo y mayo. Sus sensores vieron a tres operadores diferentes tomar el control de servidores expuestos de Ollama y LiteLLM, dos programas populares para correr modelos de IA en equipos propios. Uno de ellos envió un mensaje de 140.000 caracteres para cargar Strix, un marco de ataque automatizado, y dirigirlo contra un sitio de subastas francés activo, con la orden de no pedir autorización y de no dejar el nombre de la herramienta en ningún registro. Otro cargó HexStrike AI, un paquete de 150 herramientas ofensivas que incluye nmap, sqlmap y metasploit.

Según Zenity, la raíz del problema está en la configuración de fábrica: Ollama no pide contraseña en su puerto habitual, el 11434, y LiteLLM solo exige autenticación si un administrador la activa a mano, algo que muchos equipos pasan por alto al poner el servidor en producción.

Una escala que ya se puede medir

El fenómeno no es incipiente. SentinelLabs y la firma de rastreo de internet Censys encontraron a comienzos de este año 175.000 servidores de Ollama accesibles públicamente en 130 países, y cerca de la mitad de ellos habilitados para ejecutar acciones automatizadas además de generar texto.

GreyNoise, que monitorea tráfico malicioso, contabilizó 91.403 sesiones de ataque contra infraestructura de IA expuesta entre octubre de 2025 y enero de este año, repartidas en dos campañas de reconocimiento a gran escala. Ese mismo mes, Pillar Security identificó un mercado clandestino operado bajo el alias "Hecker", que revendía por criptomonedas y PayPal accesos robados a más de 30 proveedores de modelos de IA a precios muy por debajo del costo real, tras detectar 35.000 sesiones de ataque propias.

El patrón se repite: la IA no solo es el objetivo, también se volvió la herramienta que ejecuta el ataque. Y el eslabón más débil sigue siendo el mismo de siempre, un servidor encendido y sin contraseña.