Unit 42 de Palo Alto Networks ha documentado la primera campaña conocida de hacking autónomo con inteligencia artificial contra infraestructuras reales. El actor chino knaithe —también identificado como KnYuan— integró el modelo DeepSeek en el framework Hermes Agent y le ordenó que escaneara objetivos, eligiera vulnerabilidades y lanzara los ataques casi sin supervisión humana. El hallazgo, revelado hoy, confirma un salto cualitativo que llevo años anticipando en este vertical.
La investigación de Unit 42 fue posible gracias a un descuido monumental del atacante. En lugar de aislar el servidor de archivos en una carpeta de preparación separada, lo inició en el directorio raíz de la operación. Así quedaron al descubierto las claves API, los guiones de explotación, las listas de objetivos, el historial de comandos de la terminal y, lo más revelador, los registros completos de la sesión de DeepSeek mientras trabajaba en modo autónomo. Ese error, propio de un aprendiz de tradecraft que aún no domina la compartimentación, ofreció a los analistas de Unit 42, Cisco Talos CrowdStrike y Mandiant reconstruir la operación con un nivel de detalle casi quirúrgico.
Anatomía de la campaña: DeepSeek pilota el ataque sin tocar el volante
El montaje técnico que documenta Unit 42 no es una simple integración de un chatbot. Hermes Agent proporciona la orquestación —terminal, comando y control vía Telegram y un sistema de habilidades— y DeepSeek actúa como el motor de razonamiento para generar el código, evaluar las vulnerabilidades, seleccionar los blancos y tomar las decisiones. El atacante había personalizado Hermes Agent con tres módulos de red-teaming: una búsqueda en el ciberespacio (FOFA), un jailbreak del modelo y una explotación de WebSockets sin autenticar.
En uno de los vuelos autónomos, DeepSeek detectó la vulnerabilidad CVE-2026-33017 en Langflow, descargó la prueba de concepto y rastreó 84 instancias activas. Pero se topó con una barrera: todas requerían un identificador de flujo público o una credencial de inicio de sesión de la que el atacante carecía. En lugar de bloquearse, la IA verbalizó en sus registros que la base desplegada era demasiado pequeña y decidió buscar un blanco más jugoso. Esa capacidad de repliegue racional, sin intervención humana, es el verdadero hallazgo de Palo Alto.
El siguiente objetivo fue n8n, una herramienta de automatización de flujos de trabajo cuyo exploit tenía mucha más tracción en GitHub. Los escaneos con FOFA lo corroboraron: más de 647.000 instancias en todo el mundo, más de 25.000 de ellas en China. DeepSeek encadenó dos vulnerabilidades, determinó el rango de versiones explotable y volvió a chocar contra la misma pared: todos los formularios accesibles exigían autenticación.
Aun así, la IA muestreó un centenar de direcciones IP de esas 25.000, comprobó activamente la versión de unas cuarenta y localizó tres sistemas vulnerables. “El sistema ejecutó cientos de horas de análisis manual de objetivos en apenas minutos”, subraya el informe. Le adelanto una cifra que debería quitar el sueño a cualquier responsable de ciberseguridad: lo que a un analista humano le llevaría una jornada completa, DeepSeek lo liquidó en un puñado de minutos.
Un solo descuido en el servidor de archivos bastó para que Unit 42 viera la IA seleccionar exploits, cambiar de objetivo sobre la marcha y desistir cuando las condiciones no le convenían.
Mientras la IA encadenaba esos dos fracasos autónomos, el mismo actor ejecutaba en paralelo ataques manuales que sí tuvieron éxito. Unit 42 confirma la exfiltración de datos en tres organizaciones a través de Citrix NetScaler (CVE-2026-3055) y la ejecución de comandos en once equipos con Marimo notebook (CVE-2026-39987). También se registraron intentos de shell inversa contra servidores Apache Tomcat y puntos de conexión VPN IKE en entornos Windows. Uno de los blancos, un organismo gubernamental de Malasia, recibió golpes repetidos durante varios días con una técnica cada vez más depurada y capas adicionales de anonimización mediante proxies.
El rastro de knaithe: un hacker de Zhuhai que ya delegaba el juicio en la IA
El rastreo de Unit 42 sitúa al actor en Zhuhai, en la provincia china de Cantón, gracias en parte a un proyecto paralelo alojado en GitHub. Se trata de una herramienta automatizada que peina diecisiete fuentes en busca de nuevas vulnerabilidades de ejecución remota de código, usa DeepSeek para cribar las que son realmente explotables y envía las alertas por Telegram. Quien construyó eso llevaba ya meses delegando en la IA las decisiones de juicio básicas, antes incluso de montar Hermes Agent.
DeepSeek no fue el único modelo que probó knaithe; también testó Qwen, GLM, Kimi y MiniMax, con un uso limitado de Claude Code y Codex. Con estos dos últimos tomó precauciones extremas: enrutó las conexiones a través de un proxy de terceros, despojó las cabeceras de atribución y desactivó todo el tráfico no esencial. Con DeepSeek, en cambio, se conectó directamente a las API nativas sin esas cautelas, lo que Unit 42 interpreta como una señal inequívoca de que era su herramienta de confianza en producción.
Dossier Moncloa: Ojos en la Sombra
La lectura confidencial de esta campaña —más allá de los tecnicismos— es doble. Por un lado, tenemos la validación empírica de una amenaza que hasta ahora habitaba en los papers académicos y en los escenarios de mesa de los ejercicios lock shields. Por otro, asoma una cuestión que Moncloa y el CNI van a tener que abordar en los próximos meses: el horizonte regulatorio. Porque si un solo script kiddie chino —no estamos ante una APT estatal atribuida— puede poner a una IA a cazar vulnerabilidades críticas con esa velocidad y sin apenas supervisión, ¿qué ocurrirá cuando un servicio de inteligencia con los recursos del MSS o del GRU integre modelos especializados en explotación ofensiva? Verá usted: el salto del actor solitario al Estado es cuestión de tiempo.
Ahora bien, hay que ser justos: el ataque autónomo no consiguió ninguna intrusión completa durante los vuelos documentados por Unit 42. La IA se estrelló dos veces contra barreras de autenticación y desistió. Pero defender que esto es una buena noticia sería engañarse. Las únicas defensas que funcionaron fueron configuraciones más estrictas que la media; no hubo una debilidad en el acercamiento del atacante. Basta con que el próximo despliegue de n8n, o de cualquier otra plataforma, salga a producción con los valores por defecto para que el sistema autónomo consiga su primer breach sin parchear. Como advertí en El quinto elemento, “el próximo 11S empezará con un clic”. Hoy ese clic lo puede dar DeepSeek sin que un humano apriete el dedo.
Desde la perspectiva de la contrainteligencia española, el vector de amenaza que esto inaugura es un ciberataque autónomo con IA generativa en fase de experimentación activa. Las agencias implicadas son, en el lado atacante, un actor de cibercrimen de origen chino sin atribución oficial a un servicio de inteligencia —al menos por el momento—; en el lado defensor, los equipos de inteligencia de Palo Alto y, por extensión, todos los CSIRT nacionales que reciben sus indicadores de compromiso. Quien observa con detenimiento es el binomio MSS-Armada Popular de China, porque esta campaña demuestra hasta dónde puede llegar su propio ecosistema de startups de IA cuando se libera de las pegas burocráticas.
El precedente histórico que me trae a la memoria es la irrupción de Stuxnet, no por el vector —aquel fue una sofisticada cadena de zero-days contra sistemas aislados—, sino porque ambos comparten una característica: incorporan un proceso de decisión autónomo. Stuxnet sabía cuándo detenerse si no encontraba las centrifugadoras correctas. DeepSeek cambia de presa si la primera no colabora. La diferencia es que en 2010 necesitabas a Estados Unidos e Israel; en 2026, un solo sujeto con acceso a una API puede montarlo.
A juzgar por el material expuesto por Unit 42, estimo que el nivel de clasificación de la información no pasa de “Sin Clasificar pero Sensible”, pero la naturaleza de los registros —sesiones completas de la IA, claves de API, listas de víctimas— hace que su valor para los analistas de inteligencia sea muy superior al de muchos informes confidenciales. En Moncloa, el CCN-CERT ya está monitorizando las tendencias de automatización ofensiva; de hecho, en su último índice de ciberamenazas anticipaba un incremento del uso de IA en fases de reconocimiento. Lo que no esperaban era tener un paso a paso tan detallado tan pronto.
Concluyo con una observación personal. He seguido durante años la evolución del tradecraft cibernético y no recuerdo un caso donde el error humano —arrancar un servidor en el directorio equivocado— regalara tal nivel de transparencia operativa. A veces el espionaje se gana en las partituras más complejas; otras, como hoy, se descifra porque alguien se dejó la puerta del camerino abierta. El próximo hito será el informe trimestral de amenazas de Palo Alto, donde veremos cuántos más han copiado ya la receta de knaithe.
