¿Para qué pagar por la IA si puedes robar una clave? Hackers ejecutaron 2,5 millones de consultas en modelos de terceros

El robo de acceso a redes neuronales se ha convertido en un flujo de millones de solicitudes de pago a cargo de terceros. La empresa Wiz registró al menos nueve incidentes en plataformas de IA en octubre de 2026. En dos casos los atacantes utilizaron claves robadas de Amazon Bedrock para aproximadamente 2,5 millones de llamadas a modelos. El coste de los recursos consumidos, según las tarifas públicas, pudo superar los 100.000 dólares.

Entre los servicios afectados estaban Fireworks AI, Lightning AI, OpenCode, Railway, Warp y Northflank. Los atacantes buscaron secretos en las variables de entorno, donde las aplicaciones almacenan contraseñas y claves de API. La similitud de objetivos no demuestra todavía un organizador común ni una única vulnerabilidad. Las causas de cada intrusión variaron, y los detalles técnicos de la mayoría de los incidentes aún no se han divulgado.

En el primer caso estudiado en detalle, los delincuentes comprobaron que la clave funcionaba y luego durante varios días enviaron un pequeño número de solicitudes. Más tarde los atacantes probaron los modelos disponibles y los límites regionales de Amazon Bedrock. En 30 horas se registraron alrededor de 800.000 llamadas a la API, de las cuales aproximadamente el 90 % se completaron con éxito. El flujo masivo cesó tras la revocación del acceso comprometido.

La segunda clave tenía permisos más limitados, pero esa restricción no impidió el abuso. Las primeras solicitudes masivas fueron rechazadas debido a intentos de usar rutas globales prohibidas. Tras comprobar las regiones permitidas, los atacantes enviaron en 13 horas alrededor de 1,7 millones de llamadas más, de las cuales más de un millón se ejecutaron. El resto se encontró principalmente con límites de frecuencia de llamadas.

Wiz registró las primeras comprobaciones de dos claves en el lapso de media hora después del presunto acceso a credenciales en la plataforma comprometida. Más tarde, las direcciones vinculadas con la reventa de acceso a modelos de IA comprobaron los permisos de las claves robadas. Sin embargo, no se ha demostrado la relación entre los vendedores y las intrusiones iniciales ni con el flujo de millones de solicitudes. A esta técnica se la conoce como LLMJacking.

El alcance de la campaña se compuso de distintas historias. En el hackeo de Railway los terceros pudieron obtener las variables de entorno de clientes, en algunos casos descifradas. OpenCode informó de riesgo de exposición de claves de modelos de terceros en aproximadamente el 1,4 % de los usuarios del servicio. No hay pruebas confirmadas de que todos los episodios de octubre fueran obra de un mismo grupo.

En Northflank el incidente se detectó el 30 de octubre tras la advertencia de Wiz. Los clientes confirmaron el uso no autorizado de claves de acceso a la IA. En una actualización del 2 de noviembre la empresa informó que detuvo la supuesta vía de intrusión en el plazo de una hora desde la alarma. Northflank no ha encontrado hasta ahora indicios de acceso a las aplicaciones en funcionamiento ni a los datos de las cargas de trabajo.

Northflank considera que los secretos en la infraestructura de gestión están potencialmente comprometidos y pide a los clientes que reemplacen todas las claves, incluidas las de la nube, de pago y los accesos a bases de datos. La empresa también aconseja comprobar los registros de los proveedores de IA y los gastos inesperados. La investigación forense independiente continúa; las causas definitivas y la magnitud completa del ataque aún se desconocen.