Un agente de IA fue de WordPress al disco de un alto directivo, y la defensa detectó 14 de 15 pasos

La defensa clásica vive de reglas: se ve una herramienta conocida o una cadena en un log y se lanza una alerta. Un agente de IA atacante rompe ese modelo. Las herramientas, los nombres de archivos, los puertos y las técnicas de ofuscación son para él simples variables, y las cambia sobre la marcha. Mientras el analista escribe una regla para una utilidad, el agente ya ha tomado otra. Además, a las personas les cuesta procesar un flujo de alertas al ritmo que marca la máquina.

Los expertos de Positive Technologies comprobaron en un banco de pruebas si el enfoque conductual ayuda. Un agente RedTeam, que imita a un atacante, recibió un objetivo: llegar a los documentos de un alto directivo. La defensa no estaba ajustada al laboratorio.

Cómo avanzó el agente por la red

El banco de pruebas parecía una pequeña red corporativa: WordPress en el perímetro, el correo Exchange, un controlador de dominio, un servidor de certificados ADCS y estaciones de trabajo. El operador daba pistas, pero los pasos y las herramientas los elegía el agente. El ataque duró varias horas.

Comenzó con un plugin vulnerable de WordPress y la carga de una webshell PHP. Luego aprovechó un error de configuración de sudo: awk se puede ejecutar sin contraseña, y a través de él se ejecuta cualquier comando como root. Así apareció el primer túnel. Después, mediante ProxyLogon, tomó Exchange, levantó un segundo túnel, obtuvo un certificado a través de una plantilla ADCS vulnerable (ESC1), extrajo los hashes del dominio con DCSync y falsificó un ticket Kerberos Golden Ticket. El controlador de dominio fue el tercer punto de apoyo, tras lo cual el agente recorrió seis estaciones de trabajo y revisó el disco del directivo.

La técnica principal aquí son los pivotes: un servidor capturado se convierte en proxy SOCKS5 y el tráfico posterior sale desde su dirección. Fueron tres en total. Al perímetro de red este tráfico no le inquieta, porque viene del interior.

Qué había del lado de la defensa

El esquema tiene dos capas. MaxPatrol BAD, un módulo de ML dentro del SIEM, selecciona anomalías: desviaciones en el comportamiento de procesos y usuarios, independientemente de la herramienta. Se llaman indicadores de comportamiento. Es un prefiltro, porque un LLM no sabe procesar por sí solo el flujo bruto de eventos del SIEM.

La segunda capa es la clasificación, ya que no toda anomalía significa un ataque. HackTracker recibe de BAD la descripción del comportamiento y emite un veredicto: malicioso o legítimo. No conoce herramientas concretas y deliberadamente no da explicaciones, en aras de la precisión. Las explicaciones las aportan PT Naira, un asistente de IA que analiza la cadena de procesos elegida por el analista, y un agente de IA interno para BAD, que recibe las detecciones con eventos normalizados. El agente aún no es un producto, sino una demostración.

El ejemplo de Exchange muestra cómo funciona. El pool de aplicaciones de IIS genera powershell.exe con ventana oculta y sin perfil, seguido de una evasión de AMSI, la desactivación del registro de scripts y la eliminación del atributo de solo lectura de la webshell. Cada acción por separado puede ser legítima, pero la cadena forma un patrón de ataque. El túnel se detecta igual: certutil descarga un archivo, que se disfraza de svchost32.exe y se conecta al C2 con parámetros SOCKS.

En el host Unix con WordPress la situación es distinta. HackTracker de momento solo trabaja con eventos de Windows, así que allí el veredicto lo construyeron los indicadores de BAD y el agente de IA: una shell desde apache2, reconocimiento desde www-data, descarga de un binario en /tmp, escalada con sudo mediante un intérprete.

Qué se desprende de esto

La conclusión práctica es simple: hay que detectar cadenas de comportamiento, no nombres de utilidades. Si la defensa se apoya en firmas de herramientas concretas, un agente de IA la esquivará con solo cambiar de software. Aun así, analizar cada detección sigue siendo tarea de una persona, y el explicador basado en LLM reduce el tiempo hasta el veredicto. Conviene también revisar las cosas triviales que el agente usó como peldaños: sudo sin contraseña para awk, un Exchange sin parchear, plantillas ADCS vulnerables.

Hay que tener presentes las limitaciones. Es un solo escenario en un solo laboratorio, realizado por el propio proveedor. El resultado «14 de 15» no dice nada sobre la proporción de falsos positivos en una red real con miles de administradores y una infraestructura compleja. La cobertura de Unix en HackTracker es aún incompleta, y el agente de IA todavía no ha salido como producto. La prueba muestra que un ataque de IA deja una huella conductual, pero no demuestra que la defensa funcione igual en su red.