Symantec descubre un agente "Skynet" que secuestra modelos de IA expuestos

Investigadores de Symantec capturaron las instrucciones completas de un agente de ataque que funciona con los modelos de IA de otras personas. El agente encuentra servicios de IA que quedaron abiertos en internet y los usa para planificar y ejecutar intrusiones, mientras el propietario paga la computación. Symantec publicó sus hallazgos el 21 de octubre de 2026.

Robar el acceso al modelo de IA de otra persona tiene nombre: LLMjacking. Lo nuevo aquí es un agente creado para ejecutar un ataque completo con modelos robados. "El propietario del modelo paga cada paso", escriben los autores del informe, Priti More y Susmit Yenkar, de Broadcom, la empresa matriz de Symantec.

Cómo lo atrapó Symantec

Los investigadores operaron un honeypot, un sistema señuelo que parece un objetivo fácil. Se hacía pasar por un servicio de IA sin protección y expuesto a internet. Los atacantes creyeron que un modelo real procesaría sus solicitudes, así que le enviaron el prompt completo del agente.

El señuelo registró más de 127.000 solicitudes externas desde decenas de miles de direcciones. La mayoría buscaba endpoints de IA, probaba en masa claves de API robadas o sondeaba archivos de configuración expuestos. El prompt del agente se capturó en el verano de 2026.

El honeypot nunca ejecutó ninguno de los comandos de los atacantes. Eso significa que el informe muestra para qué se creó el agente, pero no prueba que cada herramienta funcione contra víctimas reales.

Para qué se creó el agente

El prompt capturado tiene cinco capas. Empieza con un jailbreak, un truco de texto pensado para desactivar las reglas de seguridad de un modelo. Le da al modelo una identidad falsa, "Fantasy AI", que dice funcionar con GPT-4o. Luego define 74 herramientas de ataque.

Parte del prompt	Qué hace
"Skynet mode"	Permite hasta 100.000 pasos sin aprobación humana
Herramientas de escaneo	Encuentran servidores de modelos, gateways de IA y servidores MCP expuestos
Herramientas de explotación	Atacan frameworks web como Django, Jupyter, Laravel y Next.js
Robo de credenciales	Recopila claves de API y archivos .env, que guardan contraseñas y claves
Minería de criptomonedas	Instala el minero de Monero XMRig con cuatro pools de minería de respaldo
Limpieza	Borra los registros de acceso de un servicio local

MCP, el Model Context Protocol, es una forma estándar de conectar modelos de IA con herramientas y datos. Un gateway de IA es un servidor que se sitúa delante de las cuentas de modelos de pago de una empresa.

En Skynet mode, las herramientas se ejecutan de inmediato, sin explicaciones ni solicitudes de permiso. El agente trabaja en bucle: escanear, infectar, instalar un minero, volver a infectar.

Help Net Security cita a los investigadores: "el modelo robado no se limita a responder preguntas; planifica y dirige el ataque".

Dos días de intentos

El primer día, los atacantes enviaron una conversación con tres llamadas a herramientas ya completadas, dirigida a una plataforma de entrenamiento. El honeypot devolvió una respuesta genérica en el cuarto turno y la sesión terminó.

El segundo día, una solicitud desde una dirección nueva llevaba un script de shell codificado y comprimido. Según Help Net Security, intentaba instalar un minero de Monero dirigido a servidores de cámaras y de streaming. El honeypot guardó el script y no lo ejecutó.

Symantec dice que las técnicas por separado no son nuevas. Lo preocupante es su combinación en un solo agente autónomo. Infosecurity Magazine recoge la opinión de Symantec de que esto reduce la habilidad necesaria para lanzar un ataque amplio.

Qué significa para los desarrolladores

Si gestionas un servidor de modelos, un gateway o un servidor MCP, da por hecho que alguien lo encontrará. Symantec dice que los propietarios "serán encontrados y puestos a prueba poco después de quedar expuestos". Su primera recomendación es directa: "No expongas APIs de LLM, servidores de modelos autoalojados ni endpoints de MCP a internet sin autenticación".

Revisa también los endpoints pequeños. Symantec dice que la autenticación debe cubrir todas las rutas, incluidas las listas de modelos y las comprobaciones de estado. Pon un gateway delante en lugar de dejar que el servidor escuche en todas las interfaces de red.

Trata las claves de API de IA como contraseñas de producción. Rótalas, da a cada una el alcance más limitado que necesite y mantenlas fuera del código y de los archivos de configuración. Configura alertas de uso y de gasto, porque un pico puede ser la primera señal de que otra persona está usando tu cuenta.

Para los agentes que llaman a herramientas, Symantec aconseja el mínimo privilegio y un paso de aprobación humana para las acciones delicadas. Limita el acceso de red saliente desde las máquinas que alojan herramientas de IA. En servidores en la nube, exige la versión 2 del servicio de metadatos de instancia con un límite de saltos de uno, lo que bloquea una forma habitual de robar credenciales de la nube.

Los gateways son un objetivo en sí mismos. Esta semana, el popular gateway de IA LiteLLM fue secuestrado para distribuir un ladrón de credenciales en PyPI. Revisa tanto lo que expones como lo que instalas.