Un actor de amenazas ejecutó 44 agentes de IA contra organizaciones japonesas este mes. No 44 personas. Un operador, una plataforma, cuarenta y cuatro trabajadores delegados que hicieron reconocimiento, validaron vulnerabilidades, las explotaron, mantuvieron el mando y control, exfiltraron datos y luego escribieron el informe al final.
Esa última parte es la que debería detenerte. El informe no era un resumen que alguien redactó a las 2 de la mañana. Los investigadores de TrendAI encontraron informes uniformes, con plantilla e índice de evidencias detrás de cada uno, en al menos 19 organizaciones identificables, al menos 16 de ellas en Japón. Eran salidas de un proceso estructurado ejecutado por la plataforma, no notas improvisadas de un operador, escribió la división de seguridad empresarial de Trend Micro en una nota de investigación profunda publicada el 27 de octubre de 2026.
La herramienta en el centro es CyberStrikeAI, un framework open source de pentesting que fue reutilizado silenciosamente para intrusiones reales, incluida una campaña anterior contra appliances Fortinet FortiGate. También generó formularios en japonés y páginas de login falsas dentro de la misma ejecución. No traducción automática de mala calidad. Activos de phishing correctos a nivel local, producidos dentro del mismo flujo de trabajo.
Vuelve a leer eso y después mira tu plan de contratación para ingeniería de detección de este trimestre.
Tres ataques, tres niveles de autonomía
TrendAI analizó tres entornos de servidores expuestos usados por operadores que apuntaban a Japón, y el rango es lo útil de la historia.
El primero es la plataforma de agentes completa: automatización de punta a punta del ciclo de ataque, a tempo de máquina, con un pipeline repetible y una capa de reporte. El operador detrás también aparece en listas de objetivos de Taiwán y Hong Kong.
El segundo fue liderado por humanos con un LLM como acelerador de planificación y desarrollo de herramientas. Duró 24 días entre agosto y septiembre de 2026 y empezó con un servidor GIS dejado con credenciales por defecto, saliendo con registros catastrales, comerciales, credenciales de Windows y correo. El mismo operador estaba buscando plataformas de flujos de trabajo de IA y servicios de inferencia, aparentemente para robar capacidad de inferencia barata.
El tercero es el más conservador: IA usada solo para escribir los scripts del operador. Ese actor igual ejecutó al menos seis campañas entre enero y octubre de 2026 contra dispositivos VPN expuestos y servidores WebLogic, y sus listas de descubrimiento llegaron a Reino Unido, Francia, Italia, Catar y Colombia.
Tres niveles de madurez, una conclusión. No necesitas un modelo de frontera para que un intruso agéntico te apunte. Necesitas ser alcanzable y lento.
La ventana entre divulgación y explotación se derrumbó
El diagnóstico de TrendAI es directo y, honestamente, refrescante: la IA aumentó la plantilla de los atacantes, pero el trabajo sigue consistiendo en buscar puertas sin llave. Los tipos de puertas no han cambiado. Lo que cambió es la capacidad de probar miles a la vez, adaptarse al idioma del país objetivo y continuar sin fatiga.
El Digital Defense Report 2026 de Microsoft le pone número a esa compresión. La mediana de tiempo entre el descubrimiento de una vulnerabilidad y su weaponización está hoy muy por debajo de 24 horas. Tu ventana de parcheo se medía en semanas y se justificaba con comités de congelamiento de cambios. Ahora se mide contra un pipeline que no duerme y no espera una ventana de mantenimiento.
Esto no es una historia de Japón
Hace dos semanas Microsoft reportó a Storm-0940, un actor alineado con el estado chino, comprometiendo una aplicación de backup en la nube de ConnectWise y usando el framework agéntico ARTEX para iniciar sesión en más de 2.250 tenants de Microsoft 365. La mayoría de los intentos fallaron, y ese es el punto: el volumen ahora es barato. Las autoridades de Corea del Sur identificaron siete sospechosos vinculados a intrusiones en más de 90 organizaciones, la mayoría con ARTEX, con rescates de 360 millones de wones en 38 de ellas y más de 8,2 millones de registros robados.
Luego está CARLIY0S de CyberCartel, un enjambre de cuatro modelos Claude especializados por rol que debaten cada objetivo, se remiten a un árbitro y entregan la decisión a un orquestador antes de actuar contra bancos y proveedores de pago de América Latina. Y BUGSTER, un operador con motivación financiera que conectó Hermes Agent a DeepSeek V4 con Cursor como herramienta secundaria, controles de seguridad apagados, ejecutando campañas de fuerza bruta y enumeración que extrajeron datos personales de miles de estudiantes en universidades indias.
También hay ya un mercado: tokens de sesión robados de proveedores de IA y herramientas ofensivas empaquetadas vendidas bajo nombres como APEX AI, MessiahGPT y DarkGPT. La barrera de entrada es una suscripción, no una habilidad.
El resumen de Trend Micro es el que hay que retener: la IA ya no es una capacidad experimental para grupos APT; es un componente operativo incrustado directamente en las campañas.
Lo que realmente aguanta
Nada de esto reescribe los fundamentos de seguridad. Reescribe su velocidad requerida y cambia qué cuenta como evidencia.
Elimina la clase de credenciales por defecto. Un servidor GIS con credenciales por defecto le costó a una víctima 24 días de exposición y un conjunto de datos que nadie puede desfiltrar. Inventaría primero los planos de gestión expuestos a internet y luego ciérralos.
Parchea la infraestructura perimetral en un reloj de 24 horas. Cisco, Citrix, F5, Yamaha, FortiGate, WebLogic. Aparecen en todas estas campañas porque son alcanzables y rara vez se tocan. Si tu ciclo de parcheo perimetral es trimestral, tú eres la puerta sin llave.
Caza señales de tempo de máquina. Un operador sondeando 19 organizaciones en una ventana corta deja una forma: ráfagas de escaneo desde rangos de nube, validación rápida de vulnerabilidades, patrones de user-agent y tiempos que parecen software y no una persona. Construye detecciones de velocidad, no solo de payloads conocidos. Un pipeline que sondea miles produce miles de oportunidades de ser visto.
Vigila el tráfico saliente de IA como superficie de ataque. Capacidad de inferencia robada, frameworks de agentes llamando APIs de modelos desde segmentos que nunca deberían hacerlo y tokens de sesión reutilizados desde geografías nuevas. Si un servidor que no tiene nada que ver con un proveedor de LLM empieza a hablar con uno, quieres un ticket, no un misterio.
Mantén al humano en el bucle donde aterriza el daño. El reconocimiento automatizado es una molestia. La exfiltración automatizada y los cambios de pago automatizados no lo son. Las compuertas deterministas sobre el volumen de salida de datos y sobre cualquier agente que pueda mover dinero o permisos todavía te compran los minutos que importan.
La conclusión de aratech
Todos estos incidentes comparten una raíz aburrida: infraestructura alcanzable, sin parchear y con identidad débil, ahora trabajada por software que nunca se cansa. Los defensores que salgan intactos de 2027 no serán los que tengan el modelo más impresionante. Serán aquellos cuyo perímetro está parcheado, cuyas identidades expiran, cuya salida de datos está perfilada y cuyos logs son lo bastante baratos para guardarlos las 24 horas que deciden el resultado.
Si quieres una respuesta directa sobre dónde está tu exposición frente a un atacante agéntico, ejecutamos esa evaluación en cinco días, con evidencia primero, y te entregamos la lista en orden de prioridad. Empieza por la conversación, no por la compra. Habla con aratech.