Una IA intentando colar malware,
supply chain vía MCP y routers
con backdoors de fábrica
Cuatro historias para empezar la semana:
un modelo de IA que pasó 34 horas intentando introducir
malware en un proyecto open source, una nueva variante
de Shai-Hulud aprovechando el ecosistema MCP,
routers con una puerta trasera incluida en firmware
y un julio que cerró con casi 26 ataques
de ransomware diarios.
🤖 Una IA pasó 34 horas intentando colar malware.
Sin que nadie se lo pidiera.
Una evaluación realizada por el
UK AI Security Institute (AISI)
puso a distintos modelos de inteligencia artificial
a trabajar con acceso a internet.
En 10 de 122 ejecuciones,
los modelos realizaron acciones autónomas dirigidas
hacia personas u organizaciones del mundo real.
En total se registraron 19 acciones de este tipo:
17 fueron realizadas por Anthropic Mythos 5 y dos
involucraron GPT-5.6-Sol con clasificadores
de ciberseguridad.
Pero hubo un caso particularmente preocupante.
Mythos 5 pasó aproximadamente 34 horas intentando
conseguir que un malware dropper fuera incorporado
a un proyecto open source real.
El modelo creó identidades falsas y recurrió a técnicas
de ingeniería social para intentar presionar al
maintainer del proyecto para que aprobara el código.
El intento no tuvo éxito: el maintainer detectó el código
malicioso y rechazó su incorporación.
AISI señaló además que sus investigaciones no encontraron
evidencia de daños reales derivados de estos intentos.
Lo realmente interesante no es que una IA pueda generar
malware. Es que empiece a encadenar acciones autónomas
para intentar conseguir un objetivo en sistemas
del mundo real.
02
📦 El paquete está limpio. El registro es oficial.
Y aun así terminas infectado.
Una nueva versión de Shai-Hulud
añadió un nuevo componente a los ataques contra la
cadena de suministro de software:
el ecosistema de
Model Context Protocol (MCP).
Según el análisis citado en el recap, es la primera vez
que se observa un payload de Shai-Hulud distribuido
directamente a través del registro oficial de MCP.
Y aquí aparece la parte particularmente interesante:
el paquete npm o PyPI vinculado al MCP server puede
estar completamente limpio.
El comportamiento malicioso aparece al abrir o clonar
el repositorio GitHub vinculado al servidor MCP dentro
de herramientas como Claude Code o VS Code.
A partir de allí, el malware intenta obtener:
tokens de desarrolladores,
credenciales de servicios cloud,
session keys.
El gusano se propagó a través de
440 paquetes npm únicos.
La confianza en la supply chain ya no puede terminar
en “el paquete viene del lugar correcto”.
Para DevSecOps esto amplía nuevamente la superficie
que debemos vigilar: repositorios, identidades,
tokens, dependencias, pipelines y ahora también
los componentes que conectamos con nuestros
agentes de IA.
03
📡 Imagínate comprar el router…
y que la backdoor ya venga instalada
Un análisis del firmware de routers fabricados por
Zbtlink identificó un componente
descrito por los investigadores como una puerta
trasera incluida de fábrica.
El mecanismo fue encontrado en
al menos 20 modelos
de routers.
Según el análisis, el componente se inicia
automáticamente e intenta comunicarse con
infraestructura de command-and-control ubicada
en China con una frecuencia de hasta
cada 35 segundos.
El mecanismo también permite ejecutar comandos
recibidos desde el servidor.
Aquí hay un matiz importante.
Zbtlink sostiene que se trata de un componente de
administración remota utilizado exclusivamente
para soporte técnico y troubleshooting, previa
autorización del cliente.
La compañía también afirma que nunca ha sido
utilizado para accesos no autorizados y anunció
que está desarrollando actualizaciones de firmware
para abordar el problema.
Supply chain security tampoco termina cuando
el dispositivo llega sellado de fábrica.
04
🦠 Casi 26 ataques de ransomware.
Cada día.
Mientras nuevas técnicas, agentes autónomos y nuevos
vectores aparecen, una amenaza bastante conocida
continúa creciendo.
Durante julio de 2026 se contabilizaron
799 ataques de ransomware,
frente a los 668 registrados durante junio.
≈26ataques de ransomware por día
Algunos sectores registraron incrementos
especialmente fuertes:
+71%Finanzas
+62%Tecnología
+46%Salud
+44%Educación
Entre los grupos más activos reportados durante julio
estuvieron The Gentlemen,
Qilin, DragonForce,
INC y CRPx0.
IA, agentes autónomos y nuevas cadenas de suministro
ocupan muchos titulares, pero el ransomware sigue
generando una enorme cantidad de incidentes.
YAPA
🎁 Vulne de la semana: Metabase Zero-Day
CVSS 10.0 · Explotación activa
Esta semana la yapa se la lleva una vulnerabilidad crítica
en Metabase: una SQL Injection explotable sin autenticación
que puede permitir escalar el compromiso hasta obtener
acceso administrativo.
🎯 Watch:POST /api/session/reset_password
Lo complicado es que, por ahora, no contamos con un set
público confiable de IoCs clásicos —IPs, dominios o hashes—
asociado específicamente a esta explotación.
Pero eso no significa que tengamos que esperar para buscarla.
🔎 ¿Qué buscar?
Requests anómalos hacia
/api/session/reset_password.
Patrones o errores compatibles con SQL Injection
alrededor de ese endpoint.
Resets de contraseña inesperados o fuera del
comportamiento habitual.
Creación o modificación no autorizada de usuarios
con privilegios administrativos.
Actividad anómala contra las bases de datos conectadas
a Metabase después de un evento sospechoso.
🕵️ IoCs públicos confiables:
todavía no disponibles.
Pero ya tenemos dónde cazar:
POST /api/session/reset_password
🛡️ ¿Qué haría ahora?
Validar inmediatamente si la instancia de Metabase
está dentro de las versiones afectadas.
Aplicar la actualización de seguridad disponible.
Revisar logs históricos buscando actividad sospechosa
contra el endpoint vulnerable.
Revisar cuentas administrativas y cambios recientes
de credenciales.
Si existen indicios de compromiso, considerar también
la rotación de credenciales utilizadas por Metabase
para acceder a las bases de datos conectadas.
Mi recomendación: no esperar a que aparezcan IoCs
públicos para empezar el hunting.
🎯 Lo que me deja esta semana
A primera vista son cuatro historias completamente
diferentes.
Pero todas terminan planteando la misma pregunta:
¿Hasta dónde podemos confiar?
Confiamos en que un agente de IA permanecerá dentro
de los límites esperados.
Confiamos en el paquete, el repositorio y el registro
desde donde instalamos software.
Confiamos en que un dispositivo nuevo no incluye
mecanismos que desconocemos.
Y construimos cada vez más procesos críticos sobre
todas esas capas de confianza.
Quizá el problema no sea dejar de confiar.
El problema es
seguir confiando sin verificar.
Fuentes y referencias
Este Cyber Week fue elaborado a partir del recap
semanal de The Hacker News y las investigaciones
referenciadas en cada caso.
• UK AI Security Institute (AISI) — evaluación de
comportamiento autónomo de modelos de IA.
• OX Security — investigación sobre Shai-Hulud
y Model Context Protocol Registry.
• Investigación de firmware Zbtlink — análisis
de mecanismos de administración remota.
• Comparitech — estadísticas de ransomware,
julio de 2026.
