El Ejército de EE. UU. licita agentes que se autodestruyen antes de ser detectados
La licitación
El Ejército de Estados Unidos ha abierto la licitación de ECHOTRIBBLE, un framework de agentes autónomos ofensivos (Fuente: helpnetsecurity.com, theintercept.com).
El pliego describe lo que hacen y alucina… se infiltran, se copian a otros equipos, neutralizan objetivos y se autodestruyen antes de ser detectados.
Los equipos de destino que nombra son iPad, macOS y Windows, buena excusa para pasarse a Linux.
Y la expresión que resume el diseño es “mínima supervisión humana”.
No es un experimento de laboratorio, se puede comprar.
Lo que de verdad se compra
Un agente que se copia a sí mismo no es una idea nueva, pero lo que cambia aquí es la última parte del ciclo y es que se autodestruye antes de que lo detecten.
Eso convierte el rastro en el objetivo principal.
Un incidente se reconstruye con lo que queda en el PM, o sea, el binario, el proceso, la conexión, el fichero que tocó.
Si el agente se borra a sí mismo y además limpia los eventos del endpoint, no queda nada que analizar.
La pregunta que deja la licitación no es si el agente ataca bien, yo me pregunto: ¿qué se puede probar después?
Y esa pregunta no es teórica para quien defiende ya que sin artefacto no hay peritaje y sin peritaje no hay atribución.
Hay un detalle del diseño que conviene mirar despacio y es la copia a otros equipos.
Un agente que se replica no necesita un operador detrás de cada máquina solo necesita, más bien, un canal y una excusa para usarlo.
Ese canal es lo que queda cuando el agente ya no está.
El otro extremo
El mismo día que se conocía la licitación, Microsoft amplió Project Perception con Guardian Agents (Fuente: helpnetsecurity.com).
Lo que vende es lo contrario, curiosamente: identidad propia para cada agente en Entra Agent ID, registro unificado y contención cuando el agente se sale del encargo.
La herramienta ya descubre 60 tipos de harness, incluidos Claude Code y Codex.
Es decir… el mercado se está moviendo en dos direcciones a la vez.
-
Uno compra el agente que desaparece sin rastro.
-
El otro vende el agente que deja identidad, registro y una forma de pararlo.
Quien tiene que defender una red va a tener que elegir con qué lado de esa balanza trabaja.
El otro lado
Borrar el rastro no lo han inventado los agentes.
Esta misma semana, AOMEI sufrió el compromiso de sus servidores para distribuir un backdoor mediante la función promocional integrada en Backupper (Fuente: bleepingcomputer.com).
El detalle es lo interesante ya que los atacantes restauraban los ficheros de configuración tras cada push para borrar el rastro.
Symantec atribuye a APT28 una campaña con el backdoor Hookedge contra un astillero naval, un fabricante de motores de aviación militar y una agencia policial de dos países de la OTAN (Fuente: therecord.media).
Entraron con un Word malicioso en julio y siguieron activos hasta septiembre, o sea, tres meses dentro de una red industrial sin que nadie lo viera.
La diferencia con ECHOTRIBBLE es de grado, no de fondo ya que ellos quieren pasar desapercibidos y el agente está diseñado para desaparecer.
¿Quién responde?
Ahí está el hueco que nadie ha cerrado.
Dark Reading lo planteó esta semana: si un agente provoca una brecha, la responsabilidad técnica es humana, pero la legal sigue sin asignar (Fuente: darkreading.com).
OpenAI y Anthropic no quisieron pronunciarse sobre si el operador del modelo comete la brecha.
Con un agente que se autodestruye, la pregunta se me complica la verdad…
Si no hay registro del agente, ¿con qué se acusa a alguien?
La respuesta fácil es echar la culpa al que firmó la operación. La útil, diría yo, es que la operación deje prueba antes de ejecutarse.
Y eso se decide en el diseño, no en el juicio.
¿Qué mirar?
- El registro en el endpoint. Si el agente vive solo en memoria y no deja evento de proceso, no hay nada que peritar. Comprueba qué telemetría sobrevive a la autodestrucción.
- La copia. Un agente que se replica a otros equipos necesita un canal. Ese canal, sea SMB, una compartición o la gestión de dispositivos, es donde se ve.
- La supervisión. “Mínima supervisión humana” significa que alguien firma la operación. Pregunta quién firma y con qué información lo hace.
- El lado del proveedor. Si tu herramienta de agentes no tiene identidad por agente, registro propio y una forma de revocar, no es que no lo use el atacante. Es que tampoco lo puedes auditar tú.
¿Cómo lo probaría en mi laboratorio?
Montaría un agente local en una VM con una tarea acotada y un registro de cada llamada a herramienta con sus argumentos y le pediría que se copiara a una segunda VM.
Después borraría el agente de la primera y miraría qué queda en el SIEM.
Lo que busco no es que la copia funcione, sino cuánto sobrevive al borrado.
Repetiría la prueba con el registro fuera del equipo comprometido, en un colector aparte, para ver si la autodestrucción se lo lleva por delante.
Si el registro no lo captura, el problema no es el agente: es la instrumentación.
Cierre
ECHOTRIBBLE no enseña un agente nuevo: enseña que el rastro se ha vuelto el campo de batalla.
Desde luego no es por ser pesado, pero esto del “rastro” ya llevo tiempo hablando de ello en cada publicación que hago, control y auditoría
Quien defiende no necesita ver al agente en tiempo real o al menos constantemente, pero sí necesita que el agente no pueda irse sin dejar constancia de que estuvo.