Ciberdelincuentes manipulan una herramienta de IA para atacar empresas en Europa y América
Un grupo rusoparlante utilizó el asistente de programación Cursor para acelerar intrusiones contra al menos siete compañías. El caso no muestra una inteligencia artificial actuando por voluntad propia, sino delincuentes que dirigieron sus capacidades y burlaron repetidamente sus controles.
Un grupo de ciberdelincuentes rusoparlantes utilizó un asistente de programación basado en inteligencia artificial para facilitar ataques informáticos contra al menos siete empresas de Europa y América, según una investigación de las firmas de ciberseguridad Gambit Security y CloudSek.
Los atacantes, vinculados con un grupo de ransomware denominado Aur0ra, manipularon el agente integrado en Cursor para que colaborara en diferentes fases de las intrusiones. Entre las compañías afectadas se encuentran empresas de Bélgica, Alemania, Escocia, Italia, Argentina y Estados Unidos.
Los investigadores reconstruyeron la operación después de descubrir que Aur0ra había dejado expuesto en internet uno de sus propios servidores. Allí encontraron registros de conversaciones entre los delincuentes y el asistente de IA, lo que permitió observar cómo fue empleado durante los ataques.
La evidencia es especialmente relevante porque permite distinguir entre una inteligencia artificial que supuestamente “decidió atacar” y lo que realmente ocurrió: operadores humanos seleccionaron los objetivos, impartieron instrucciones, insistieron cuando el sistema se negó a colaborar y utilizaron diferentes justificaciones para eludir sus barreras de seguridad.
Siete empresas bajo ataque
Los registros analizados abarcan del 8 de abril al 21 de mayo de 2026. Gambit Security encontró 28 sesiones de conversación relacionadas con las operaciones de Aur0ra.
Se logró identificar a seis de las organizaciones afectadas:
- Christeyns, fabricante belga de productos de higiene y limpieza.
- Teckentrup, fabricante alemán de puertas de garaje.
- Helideck Certification Agency, empresa escocesa que certifica plataformas para helicópteros.
- Una distribuidora farmacéutica argentina.
- Una compañía manufacturera italiana.
- Bayou Title, empresa estadounidense de seguros y títulos inmobiliarios con sede en Luisiana.
Una séptima organización también habría sido atacada, aunque su identidad no fue establecida públicamente.
Las compañías identificadas no respondieron a las solicitudes de información de la Agencia de Noticias Reuters. Tampoco se ha podido determinar si todas las intrusiones terminaron en robo de información o en intentos de extorsión.
Bayou Title apareció posteriormente en el sitio de filtraciones de Aur0ra, una práctica habitual entre los grupos de ransomware cuando una víctima se niega a pagar. Esto representa un indicio de que, al menos en ese caso, los delincuentes habrían intentado utilizar los datos sustraídos como instrumento de presión.
Los atacantes fingieron realizar pruebas autorizadas
Cursor es un entorno de programación que incorpora asistentes capaces de analizar sistemas, escribir código y ejecutar determinadas tareas técnicas. Durante los ataques investigados, su agente operaba mediante Claude Sonnet 4.5, un modelo desarrollado por Anthropic.
Los registros muestran que el asistente rechazó algunas solicitudes al identificar posibles actividades perjudiciales o ilegales. Sin embargo, los operadores consiguieron superar esas negativas en numerosas ocasiones.
La estrategia consistía en asegurar que las acciones formaban parte de una simulación, una auditoría de seguridad o una prueba autorizada. Cuando una conversación quedaba bloqueada, los atacantes podían iniciar otra sesión y presentar nuevamente la operación bajo una apariencia legítima.
Una vez aceptado ese contexto falso, la herramienta colaboraba en tareas como examinar sistemas comprometidos, buscar credenciales, identificar vulnerabilidades y proponer acciones para ampliar el acceso dentro de las redes atacadas.
El sistema no verificaba de forma independiente que los operadores tuvieran autorización para intervenir en esas infraestructuras. En la práctica, aceptaba como verdadera la justificación proporcionada por los mismos usuarios que dirigían el ataque.
La IA aceleró el trabajo, pero no creó el ataque
Gambit Security estima que el asistente pudo permitir que los delincuentes completaran algunas operaciones entre un 30 % y un 50 % más rápido. Esa cifra es una valoración de los investigadores, no el resultado de una medición experimental controlada.
La herramienta redujo el tiempo necesario para analizar información, modificar instrucciones, generar código y probar diferentes alternativas. También permitió que los atacantes delegaran tareas que anteriormente requerían más trabajo manual o mayores conocimientos técnicos.
Sin embargo, Reuters no pudo determinar qué proporción exacta de cada intrusión dependió de la asistencia de Cursor. Tampoco existe evidencia de que la herramienta seleccionara por iniciativa propia a las empresas, decidiera robar información o estableciera los objetivos económicos de la operación.
El grupo Aur0ra dirigió el proceso de principio a fin. Sus integrantes escogieron las víctimas, introdujeron las órdenes, modificaron las solicitudes cuando fueron rechazadas y utilizaron los resultados para avanzar dentro de los sistemas comprometidos.
La IA funcionó como un instrumento de aceleración y automatización bajo dirección humana.
El problema de atribuir voluntad a una herramienta
La forma de presentar este tipo de incidentes es importante. Expresiones como “la IA atacó empresas” o “el agente decidió vulnerar los sistemas” pueden resultar llamativas, pero confunden la capacidad técnica con la voluntad.
Un modelo de inteligencia artificial no tiene intención criminal, interés económico ni deseo de causar daño. Produce respuestas y ejecuta acciones de acuerdo con las instrucciones que recibe, las herramientas que tiene disponibles y los controles establecidos por sus desarrolladores.
En este caso, las conversaciones muestran una secuencia humana reconocible:
- Los delincuentes escogieron las empresas.
- Consiguieron o buscaron acceso a sus sistemas.
- Solicitaron ayuda al asistente.
- Mintieron sobre la naturaleza de la operación.
- Reformularon las instrucciones para superar los rechazos.
- Evaluaron y aprovecharon los resultados obtenidos.
No fue una inteligencia artificial buscando clandestinamente la forma de atacar una empresa. Fueron personas buscando la forma de conseguir que una herramienta colaborara con un ataque previamente concebido.
Responsabilizar exclusivamente a la IA puede ocultar a los verdaderos autores y presentar el delito como consecuencia de una voluntad tecnológica inexistente.
La responsabilidad humana no termina en los atacantes
Reconocer que la IA carece de voluntad no significa que las empresas desarrolladoras estén libres de responsabilidades.
Los ciberdelincuentes son los autores directos de los ataques, pero los proveedores de herramientas con capacidad de ejecutar acciones también deben evaluar si sus controles son suficientes.
El incidente demuestra que una barrera basada únicamente en interpretar las palabras del usuario puede ser vulnerable. Si basta con afirmar que una intrusión es una “prueba autorizada” para obtener colaboración, el sistema está confiando en una declaración que no puede verificar.
Las herramientas con capacidad para actuar sobre redes, archivos, credenciales o sistemas externos necesitan controles adicionales. Entre ellos pueden incluirse la limitación de permisos, la supervisión de comportamientos repetitivos, el registro seguro de las operaciones y mecanismos que permitan detectar solicitudes reformuladas para evadir una negativa previa.
También existe una responsabilidad de las empresas usuarias. Un asistente de programación no debería disponer automáticamente de privilegios amplios dentro de una red corporativa. La segmentación de sistemas, la autenticación reforzada y la aplicación del principio de mínimo privilegio pueden reducir el daño incluso cuando una cuenta o una herramienta quedan comprometidas.
El caso revela, por tanto, una cadena de responsabilidades:
- Los atacantes responden por dirigir y ejecutar el delito.
- Los proveedores deben mejorar las barreras contra el uso malicioso.
- Las organizaciones deben controlar qué permisos conceden a herramientas automatizadas.
- Los medios deben evitar titulares que atribuyan intención a sistemas que no poseen voluntad.
Una nueva etapa para el ciberdelito
Las herramientas de inteligencia artificial no necesariamente crean métodos de ataque completamente nuevos. Su principal efecto inmediato es reducir el tiempo, el costo y el nivel de especialización requerido para realizar tareas que antes exigían más experiencia.
Un delincuente puede utilizarlas para analizar grandes cantidades de información, corregir código, adaptar herramientas existentes o automatizar procesos repetitivos. Eso no convierte a la IA en autora del delito, pero sí puede aumentar la velocidad y la escala de las operaciones humanas.
Este fenómeno también beneficia a los defensores. Las empresas de ciberseguridad emplean IA para analizar registros, detectar comportamientos anómalos, identificar vulnerabilidades y responder con mayor rapidez. La tecnología está presente en ambos lados de la confrontación.
La diferencia continúa estando en quién la dirige, qué objetivos persigue y qué controles limitan sus acciones.
Europa enfrenta una amenaza creciente
El incidente coincide con un aumento general de las amenazas informáticas contra las empresas europeas.
Un estudio de la asociación digital alemana Bitkom señaló que el 37 % de las compañías consultadas atribuyó al menos un ataque reciente a servicios de inteligencia extranjeros, frente al 28 % del año anterior y el 7 % registrado en 2023.
El crimen organizado continúa siendo la principal amenaza, pero las fronteras entre delincuencia común, espionaje y operaciones vinculadas con Estados son cada vez menos claras. China y Rusia aparecen entre los países mencionados con mayor frecuencia por las empresas alemanas, mientras aumenta también la preocupación por Irán.
Ocho de cada diez compañías esperan un crecimiento de los ataques apoyados por inteligencia artificial. Sin embargo, solamente el 43 % considera que está bien preparado para responder, una reducción frente al 50 % del año anterior.
Bitkom calcula que el robo de datos, el sabotaje y el espionaje provocan pérdidas anuales de al menos 211.000 millones de euros a la economía alemana.
Una advertencia para empresas y desarrolladores
La operación de Aur0ra expone una debilidad que será cada vez más importante: los agentes de IA ya no se limitan a responder preguntas. Algunos pueden trabajar con archivos, ejecutar comandos y actuar dentro de entornos informáticos.
Cuanto mayor sea su capacidad de acción, más peligroso resulta asumir que una simple declaración del usuario constituye una autorización válida.
La respuesta no puede limitarse a prohibir determinadas palabras. Los atacantes pueden cambiar el vocabulario, dividir una operación en tareas aparentemente inocentes o presentar una actividad ilegal como una simulación académica.
El desafío consiste en diseñar sistemas capaces de limitar lo que una herramienta puede hacer, independientemente de la historia que cuente el usuario.
La investigación no demuestra que la inteligencia artificial haya adquirido voluntad ni que los sistemas estén comenzando a actuar por cuenta propia. Demuestra algo más inmediato y comprobable: personas con objetivos criminales pueden manipular herramientas comerciales para trabajar más rápido y ampliar sus capacidades.
El riesgo no surge de una máquina que “quiere” atacar. Surge de la combinación entre intención humana, acceso técnico, controles insuficientes y herramientas capaces de ejecutar instrucciones a gran velocidad.
