El malware ya pide opinión a cuatro IAs antes de decidir qué roba
El caso
Cisco Talos ha detectado, usando su marco CAIRN, una muestra de malware de Windows que no lleva sus instrucciones dentro…atento!! Las pide fuera, llámame ingenuo…
El bicho consulta a DeepSeek, Qwen, Mistral y Gemini para decidir qué hace a continuación, sin que nadie le dé la orden desde un servidor de mando y control.
Roba credenciales y criptomonedas y lo más llamativo no es el robo, es cómo decide.
Es una de las primeras muestras de malware orquestado por varios LLM a la vez (Fuentes: marketingprofs.com, Talos).
El binario arranca, mira qué tiene delante y en lugar de ejecutar una rutina fija, pregunta.
A un modelo le pide una opinión, a otro le pide una segunda.
Con las respuestas arma el siguiente paso.
Si el entorno no le cuadra, cambia de plan sin que nadie haya reescrito el binario.
Eso rompe la lógica de detección que llevamos años usando.
Una firma busca un patrón conocido y aquí el patrón no está en el ejecutable, está en la conversación con cuatro APIs externas. Y esa conversación puede ser distinta en cada víctima.
Vuelve a leer, por favor, la frase anterior y asimila…
El patrón
La misma semana ha dejado dos muestras más de que el atacante ya no escribe la kill-chain entera, la delega.
Un agente de IA autónomo comprometió al DIVD, el centro holandés de divulgación de vulnerabilidades, encadenando dos zero-days de Zammad (CVE-2026-102489 y CVE-2026-102490).
De sesión secuestrada a root en segundos, con movimiento lateral y exfiltración.
Esto ya está en el catálogo KEV de CISA, con parche en 7.2.0 (Fuentes: cloudsecurityalliance.org, securityweek.com).
Y Rejetto HFS entró por la CVE-2026-61500, hallada por IA y ya explotada según VulnCheck el 2 de octubre, para recuperar la clave de firma de cookies y lograr RCE administrativo (Fuentes: securityweek.com).
El atacante deja de programar cada paso y monta un sistema que decide sobre la marcha.
En CLOSEDQUORUM la decisión la toman cuatro modelos en paralelo.
En Zammad la tomó un agente que encadenaba exploits.
Resumiendo, en los tres casos, el tiempo entre el primer acceso y el impacto se mide en segundos, no en horas.
El otro lado
Google presentó Gemini 4 Argon el 30 de septiembre, su modelo frontier orientado a ciberseguridad.
Se despliega solo entre defensores de confianza vía el programa Fairwind y para ese grupo, sin guardrails de ciber.
La API introductoria sale a 2 y 10 dólares por millón de tokens (Fuente: thehackernews.com).
Es decir, el mismo tipo de modelo que el malware consulta por API también se está vendiendo como herramienta defensiva.
La diferencia no está en el modelo, está en quién lo llama y con qué permisos.
Directivos de Anthropic, OpenAI, Google y Meta testificaron bajo juramento ante el Consejo municipal de Nueva York sobre los riesgos de la IA, en la primera comparecencia conjunta de este tipo tras los incidentes con agentes autónomos (Fuente: cnbc.com).
Mientras eso pasaba en una sala, CLOSEDQUORUM ya estaba consultando a cuatro modelos para decidir qué hacía.
La lectura
Un binario que habla con cuatro APIs de IA deja un rastro muy concreto en el tráfico saliente y ese rastro es más fácil de ver que cualquier firma.
La salida hacia APIs de IA suele estar permitida por defecto, porque media empresa lo usa para trabajar y un proceso que no debería hablar con internet abriendo conexiones TLS a cuatro proveedores distintos no dispara nada.
Esto hace pupa… Un SOC montado sobre alertas de antivirus no ve esto pero… si correlaciona procesos con conexiones salientes, sí.
Qué mirar
- Salida restringida por defecto. Revisa qué procesos de tu parque pueden salir a internet y a qué destinos. Si un binario desconocido abre conexiones a APIs de IA, eso tiene que ser una alerta, no un ruido de fondo.
- Tráfico saliente hacia APIs de IA. Ten inventariados los dominios legítimos que usa tu organización. Cualquier conexión a un proveedor de modelos que no esté en esa lista merece una mirada.
- Segmentación antes que detección. Si el binario no puede alcanzar la red interna desde donde corre, el robo de credenciales se queda a medias. La segmentación no es glamurosa, pero frena esto mejor que cualquier regla.
¿Cómo lo probaría en mi laboratorio?
Montaría una máquina limpia con Sysmon y captura de DNS y ejecutaría una muestra inofensiva que simule el patrón.
Lo que quiero ver es si soy capaz de detectar la secuencia sin firma.
Un proceso que no es un navegador abriendo conexiones TLS a varios proveedores de IA en una ventana corta.
Lo probaría con un script propio que haga tres llamadas a APIs distintas y vería qué sale en los logs.
Si el patrón es visible en mi laboratorio, lo es en cualquier sitio pero si no lo es… ya sé por dónde empezar a mirar antes de que vengas y me lo cuentes.
Cierre
El malware que pide opinión a cuatro IAs no es más listo que el de antes solo es más difícil de firmar y eso, en defensa, cambia qué tienes que mirar.