Robo de inferencias de IA: cómo los hackers se lucran a costa de Vercel con proxies residenciales

El robo de inferencias consiste en sustraer llamadas de IA costosas para revenderlas. Los atacantes roban tokens a startups, los envuelven en su propia API y los revenden como alternativa barata a OpenAI o Anthropic. Vercel publicó un informe detallado sobre un ataque a sus endpoints de IA que revela la economía de estos robos y por qué las defensas web estándar resultan totalmente ineficaces.

Por qué las llamadas de IA son tan caras

Una solicitud HTTP normal cuesta aproximadamente $2 por millón de solicitudes, casi gratis. Pero una sola solicitud a un modelo de frontera (GPT-5.5, Claude 3.5 Sonnet) puede costar entre $1 y $2. Es un millón de veces más que un endpoint estándar. Para los atacantes es una economía ideal: robar una llamada de $2 y revenderla por $1,50 es beneficio puro, sin costes marginales de inferencia.

Cómo funciona el robo: la arquitectura del ataque

Los atacantes crean un adaptador, una capa de software que convierte el endpoint ajeno en una API compatible con OpenAI. La víctima paga la inferencia; el atacante no paga nada. El proceso es así:

• Registran miles de cuentas desechables en la víctima
• Compran IP de proxies residenciales al por mayor (miles de direcciones)
• Envuelven la API robada en un adaptador
• La ofrecen a su propia base de clientes o la revenden en el mercado negro
• Ganan la diferencia entre el precio robado y el precio de reventa

Un ejemplo real es Chipotlai Max, un fork de un agente de programación que convierte el chatbot de soporte de Chipotle en un endpoint compatible con OpenAI. El proyecto busca abiertamente desarrolladores para hacer lo mismo con Home Depot, Lowe's, Target y Starbucks.

Por qué no funcionan los límites de tasa ni la autenticación

Los límites de tasa y la autenticación se diseñaron para protegerse de la fuerza bruta con contraseñas y de los DDoS. Allí el cálculo es que robar un millón de contraseñas cuesta más que protegerlas. Con el robo de inferencias, la cuenta es la inversa. Los atacantes compran IP de proxies residenciales por separado, cientos y miles de direcciones. Un límite de tasa que se comprueba una vez por sesión se diluye entre mil llamadas robadas en lugar de aplicarse a cada solicitud. Una cuenta de apariencia real supera la autenticación. Cuando la solicitud llega a tu API, ya ha cruzado la frontera que pensabas proteger.

El ataque real a Vercel

El 12 de abril de 2026, el tráfico del chat de IA en la documentación de Vercel se multiplicó por 10. En el pico alcanzó 1,300 solicitudes por minuto a Claude Haiku 4.5. Eso equivalía a un run rate de $10,000 de pérdidas por hora. Los atacantes usaron proxies residenciales y cuentas nuevas para diluir los límites de tasa.

Cómo se defiende Vercel

Vercel pasa cada solicitud de IA por BotID, un análisis profundo que se ejecuta no una vez por sesión, sino en cada solicitud individual. En lugar de comprobar al inicio, la verificación se aplica a cada byte de datos. Puede implementarse en tus propios endpoints: unas pocas líneas de código bloquean los intentos automatizados de robo.

Qué significa esto

Si tienes un endpoint de IA público (playground, soporte, IA documental), los límites de tasa y la autenticación ya no te protegen. La defensa debe actuar a nivel de solicitud, no de sesión. Para las startups con acceso abierto es crítico: un solo ataque serio puede costar decenas de miles de dólares en pérdidas.