Atacantes ya ejecutan frameworks de agentes en intrusiones reales: 27 acciones en 23 segundos

Veintisiete eventos en veintitrés segundos. Eso es lo que tardaron las herramientas de un atacante en sondear permisos de AWS en grupos de seguridad durante una intrusión que investigaron Google Threat Intelligence Group y Mandiant. Nadie teclea tan rápido. Nadie que lea alertas responde tan rápido tampoco.

El informe, publicado el 30 de octubre, documenta a actores de amenaza usando frameworks ofensivos agénticos de código abierto en encargos reales de respuesta a incidentes desde finales de agosto de 2026. Los ataques agénticos han sido un tema de laboratorio durante un año. Esta es evidencia de entornos de clientes.

Qué observó Google realmente

Los frameworks nombrados son ARTEX, Hexstrike, CAIRN y PentAGI, todos construidos como herramientas de pruebas de penetración y reutilizados. ARTEX, la pieza central, es una plataforma multiagente basada en Go que reparte el ciclo de vida del ataque entre seis subagentes especializados y también sirve como mando y control. PentAGI soporta más de una docena de backends de modelos en la nube y locales, lo que significa que bloquear un proveedor de modelos no lo detiene.

El comportamiento en los logs tiene una forma reconocible. La ejecución llega en ráfagas de 2 a 25 segundos. En un caso, después de que un error indicara que un script era demasiado grande, las herramientas se adaptaron y desplegaron una instancia con 17 snapshots en unos diez segundos. En Azure, ejecutó un barrido de validación en dry-run por once tipos de recursos en ocho segundos. En otro lugar, enumeró más de 110.000 objetos de Active Directory desde un controlador de dominio. Google también cita a Wiz Research en una campaña en la que los atacantes pasaron de una primera cuenta comprometida a acceso profundo al sistema en unas cuatro horas, y en un caso en 15 minutos.

Dos advertencias mantienen esto en proporción. Son investigaciones seleccionadas, no una medida de cuántos atacantes usan agentes. Y varios de estos frameworks y campañas ya se habían reportado antes; lo nuevo es la evidencia consolidada de Google sobre cómo se comportan dentro de entornos reales.

La ventana, en una escala

El ritmo del atacante frente a una cadena de respuesta típica

SegundosDías

1. 23 segundos27 sondeos de permisos en una ráfaga, según GTIG
2. Unos 10 segundosLas herramientas se adaptan a un error y se redespliegan
3. 15 minutosEl caso más rápido citado de primera cuenta a acceso profundo (Wiz Research)
4. Unas 4 horasTípico de primera cuenta a acceso profundo en esa campaña
5. Siguiente día hábilDonde suelen acabar el triaje de alertas y la contención basada en tickets

Sostuvimos en octubre que los primeros sistemas que fallan con la adopción de agentes son los dimensionados para el ritmo humano. Eso era sobre los agentes propios de una empresa desbordando colas de revisión y pipelines de merge. La misma aritmética ahora corre contra la defensa. Un proceso de respuesta que necesita que una persona lea una alerta, abra un ticket y pida aprobación antes de revocar una credencial está diseñado para un adversario que también necesita café.

Qué sigue funcionando a velocidad de máquina

Las recomendaciones de Mandiant se organizan en cinco capas, y comparten una propiedad: casi ninguna depende de que un humano decida en el momento.

Proteger el plano de control. Las APIs de administración, las consolas, los sistemas CI/CD, los proveedores de identidad, la infraestructura de copias de seguridad y las autoridades de certificación solo deberían ser accesibles desde redes de confianza. Un agente no puede abusar de una interfaz de administración que no puede alcanzar.

Restringir identidades y claves. Credenciales de cargas de trabajo de corta duración y ningún secreto de larga duración. Una clave robada que caduca en una hora limita la incursión; una que nunca caduca es la incursión.

Endurecer configuraciones y reducir rutas de ataque. Escaneo continuo de aplicaciones e infraestructura, porque el agente encontrará la mala configuración más rápido que la revisión trimestral.

Proteger las aplicaciones del abuso de funciones legítimas. En un caso, los atacantes forzaron el envío de correos de notificación de prueba a más de 1.300 usuarios internos mediante una función ordinaria de la aplicación.

Detectar cambios de comportamiento y de volumen. Aquí es donde la velocidad se convierte en ventaja del defensor. Veintisiete comprobaciones de permisos en veintitrés segundos, barridos de despliegues en dry-run, ráfagas de llamadas a la API desde una sola identidad: estos patrones son raros en el trabajo humano legítimo. La velocidad de identidad y las tasas de ráfaga de API son señales sobre las que vale la pena alertar.

Qué decidir antes del próximo incidente

La consecuencia práctica tiene que ver con la autoridad, no con las herramientas. Las acciones de contención que pueden automatizarse de forma segura (suspender una sesión, revocar un token, aislar una carga de trabajo) deberían preautorizarse para patrones definidos, para que la respuesta no espere a una cadena de aprobación. La misma disciplina aplica a la infraestructura de IA de la propia organización: los gateways de IA y los servidores MCP guardan las llaves de todo lo que tocan los agentes, y pertenecen al plano de control que Mandiant le dice que aísle.

A principios de este mes, Anthropic mostró modelos construyendo cadenas de exploit completas en entornos de investigación. El informe de Google muestra el lado operativo ya en el campo. Ninguno de los dos significa que todos los atacantes sean autónomos. Ambos significan que el plan de respuesta debería asumir que el próximo podría serlo.