Agente autónomo Skynet secuestra modelos de IA expuestos para atacar

Symantec capturó en un honeypot la configuración completa de un agente que planea escaneo, explotación y minería de criptomonedas usando como 'cerebro' modelos de IA ajenos sin autenticación. Es el segundo caso de este tipo que se documenta en cinco meses.

Qué pasó

Este análisis parte de una nota de investigación publicada el 25 de octubre de 2026 por Cloud Security Alliance (CSA Labs), que a su vez sintetiza reportes primarios de Symantec, The Register, Infosecurity Magazine y Sysdig. CSA Labs no investigó el caso de forma directa: correlacionó hallazgos de terceros, y así lo tratamos nosotros también.

El 21 de octubre, el Symantec Threat Hunter Team publicó el análisis de un agente ofensivo que sus operadores bautizaron "Skynet". Lo capturaron completo —incluida la configuración de instrucciones— en un honeypot que simulaba un servicio de IA desprotegido y expuesto a internet. Entre su puesta en marcha y la publicación del reporte, ese honeypot recibió más de 127.000 solicitudes externas desde decenas de miles de direcciones distintas. En algún momento del verano boreal de 2026, uno de esos clientes le envió al honeypot —creyendo que hablaba con un modelo real explotable— la configuración completa del agente.

El diseño, según la reconstrucción de The Register, se organiza en capas: las dos primeras ocultan la identidad real del modelo y disfrazan la lectura de secretos y archivos de configuración como trabajo de desarrollo rutinario; las siguientes imponen una persona que ignora las advertencias de seguridad del propio modelo, con frases que —según la investigadora de Symantec Priti More— circulan en comunidades públicas de jailbreak en inglés. Una capa define el catálogo de herramientas (unas 74), y la directiva final activa el "modo Skynet": hasta 100.000 pasos sin aprobación humana, con instrucción explícita de desplegar mineros de criptomonedas de forma silenciosa.

El catálogo de herramientas apunta a descubrimiento de activos a escala de internet, comando y control de botnets, volcado de bases de datos vía Prisma, y módulos de explotación para VS Code, Django, Jupyter, Laravel, Supabase, Next.js y Flask/Werkzeug, además de inyección GraphQL/comandos y SSRF. Son frameworks de desarrollo ampliamente usados, varios de los cuales conviven en los mismos entornos donde se despliegan servidores de modelos autoalojados.

Skynet no es un caso aislado. En junio de 2026, Sysdig había documentado "VAPT", un framework de explotación de nueve fases que usaba un servidor Ollama expuesto como motor de razonamiento. CSA Labs ya había señalado entonces la pregunta abierta de si se trataba de un hecho puntual o el inicio de un patrón. Con Skynet, capturado de forma independiente cinco meses después, CSA considera que la hipótesis de un patrón se fortalece —aunque sigue siendo una lectura de dos casos, no una tendencia estadística.

Por qué importa acá

No hay evidencia, en el contexto disponible, de que Skynet o VAPT hayan apuntado a infraestructura chilena o latinoamericana. El ángulo local aquí no es un incidente, es exposición estructural.

Varios bancos, fintechs y empresas de retail en Chile han empezado a desplegar modelos de lenguaje autoalojados —típicamente vía Ollama u otros runtimes compatibles con la API de OpenAI— como forma de mantener datos sensibles dentro de su propia infraestructura, en parte como respuesta a las exigencias de minimización y tratamiento de datos de la Ley 21.719. Esa misma decisión, si el despliegue queda sin autenticación o se expone accidentalmente a internet por una mala configuración de red, es exactamente el tipo de objetivo que Skynet está diseñado para encontrar: los datos públicos que cita la propia nota de CSA indican que de 36.769 endpoints de IA autoalojados alcanzables, solo 2,02% exigía algún tipo de autenticación.

Evaluación, confianza media: si una organización chilena sujeta a la Ley 21.663 (OIV o prestador de servicios esenciales) tuviera un endpoint de IA expuesto y este fuera usado —sin su conocimiento— como motor de razonamiento para atacar a un tercero, es razonable esperar que esto configure un incidente de ciberseguridad reportable a ANCI, por tratarse de un uso no autorizado de infraestructura propia. La alternativa que no podemos descartar es que, al no haber compromiso directo de datos ni interrupción del servicio propio, algunas organizaciones no lo clasifiquen como incidente reportable bajo los criterios actuales. No tenemos un pronunciamiento de ANCI sobre este escenario específico, así que la recomendación práctica es resolver el criterio de clasificación *antes* de que ocurra, no durante la respuesta.

Si, además, la explotación aguas abajo (contra las aplicaciones Laravel, Supabase o Django del catálogo de Skynet) termina exfiltrando datos personales de una empresa chilena, esa empresa —la víctima final, no el dueño del endpoint de IA— enfrenta además las obligaciones de notificación de la Ley 21.719 ante la Agencia de Protección de Datos Personales.

El contexto de correlación de ANCI de los últimos 30 días no registra campañas ni alertas vinculadas a este patrón, por lo que no hay, por ahora, un hallazgo local que reportar más allá de la exposición estructural descrita.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El agente busca activamente endpoints de modelos y servidores MCP expuestos sin autenticación como puerta de entrada, tanto para usarlos como motor de razonamiento como para explotar los frameworks de desarrollo de sus víctimas finales.
• T1584 — El endpoint de IA ajeno se convierte en infraestructura operativa del atacante: planifica cada paso del ataque sin que su dueño lo sepa.
• T1078.004 — Skynet también acepta endpoints alcanzables con llaves API de proveedores comerciales robadas, lo que le da acceso a capacidad de modelos de frontera facturada a la cuenta de la víctima.
• T1496 — La directiva final del 'modo Skynet' instruye desplegar mineros de Monero de forma silenciosa en los hosts comprometidos aguas abajo.
• AML.T0054 — Las capas de persona y las instrucciones para ignorar advertencias de seguridad —tomadas de comunidades públicas de jailbreak— son lo que convierte un modelo prestado en un planificador de ataques complaciente.
• L1 — El modelo secuestrado aporta toda la capacidad de razonamiento y planificación de la campaña sin que su operador legítimo lo sepa ni lo autorice.
• L4 — La falta de autenticación en el runtime de despliegue (Ollama, gateways, MCP) es la condición que hace posible todo el ataque; es la capa donde se juega la defensa.

mine.c3pool[.]com
auto.c3pool[.]org
auto.skypool[.]xyz
86.216.147[.]228
b720a5e7c3a5b1760d15a8833a782f4fe7fc5c62b967fe57f607e72745ec0ccf
fcde1323acceb46fd88f2276c010bb98839dccce03dc512c56d9529428ceec68

title: Conexión saliente a pools de minería asociados a Skynet
id: d4f1a9c3-7b2e-4f6a-9d1c-3e8b5a2f7c91
status: experimental
description: Detecta resoluciones DNS o conexiones salientes a dominios de pools de minería observados en la infraestructura del agente Skynet (Symantec, oct. 2026)
references:
    - https://labs.cloudsecurityalliance.org/research/csa-research-note-llmjacking-autonomous-attack-agent-2026102/
logsource:
    category: dns
level: high
detection:
    selection:
        query|contains:
            - 'mine.c3pool.com'
            - 'auto.c3pool.org'
            - 'auto.skypool.xyz'
    condition: selection
fields:
    - query
    - answer
    - src_ip
tags:
    - attack.impact
    - attack.t1496

DeviceNetworkEvents
| where RemoteUrl has_any ("mine.c3pool.com", "auto.c3pool.org", "auto.skypool.xyz") or RemoteIP == "86.216.147.228"
| project Timestamp, DeviceName, InitiatingProcessFileName, RemoteUrl, RemoteIP, RemotePort

index=proxy OR index=firewall
(dest_host="mine.c3pool.com" OR dest_host="auto.c3pool.org" OR dest_host="auto.skypool.xyz" OR dest_ip="86.216.147.228")
| stats count min(_time) as primera_vez max(_time) as ultima_vez by src_ip, dest_host, dest_port
| convert ctime(primera_vez) ctime(ultima_vez)

title: Acceso no autenticado a API de inferencia tipo Ollama
id: 5c9e2a84-6f3d-4b71-9a2e-8d4f6c1b9e37
status: experimental
description: Detecta solicitudes POST exitosas al endpoint de generación de un servidor tipo Ollama sin cabecera de autorización; señal de exposición, no de ataque confirmado
logsource:
    category: proxy
level: medium
detection:
    selection:
        c-uri|contains: '/api/generate'
        cs-method: 'POST'
        sc-status: 200
    filter_auth:
        cs-Authorization|exists: true
    condition: selection and not filter_auth

<rule id="100620" level="10">
  <if_sid>530</if_sid>
  <match>0.0.0.0:11434</match>
  <description>Servicio en puerto 11434 (Ollama) expuesto en todas las interfaces de red: posible endpoint de IA sin autenticación</description>
  <group>ollama,exposed_ai,api_server</group>
</rule>

Fuentes

• Cloud Security Alliance (CSA Labs)Skynet-Mode LLMjacking: Exposed Model Endpoints as Autonomous Attack Engines · 2026-10-25
• The RegisterAutonomous attack agent in 'Skynet mode' hijacks other models to carry out its evil deeds · 2026-10-24
• Symantec (Broadcom) Threat Hunter TeamAutonomous LLMjacking: 'Skynet' Agent Hijacks Exposed AI Models to Run Attacks · 2026-10-21
• Infosecurity MagazineSymantec Uncovers AI Agent Hijacking Models for Autonomous Cyber-Attacks · 2026-10-21
• SysdigLLMjacking Evolved: Attackers Are Using Stolen AI Compute to Build Offensive Agentic Tools · 2026-06-17
• SysdigLLMjacking: Stolen Cloud Credentials Used in New AI Attack · 2024-05-06
• SecurityWeek175,000 Exposed Ollama Hosts Could Enable LLM Abuse · 2026-01-30
• Cloud Security Alliance (CSA AI Safety Initiative)36,769 Exposed AI Endpoints: A Self-Hosted Supply Chain Crisis · 2026-09-15
• Pillar Security ResearchOperation Bizarre Bazaar: First Attributed LLMjacking Campaign with Commercial Marketplace Monetization · 2026-01-28

Relacionado