Investigadores de CrowdStrike han identificado un gusano informático que ataca la cadena de suministro de herramientas de inteligencia artificial para robar credenciales, extraer datos sensibles y, llegado el caso, destruir sistemas. Adam Meyers, vicepresidente senior de contramedidas de la compañía, explica que todavía no se ha atribuido la actividad a un actor concreto, aunque encaja con la evolución de campañas previas de grupos como TeamPCP (alias Altered Spider) y operadores norcoreanos.
El malware opera en varias fases. Primero realiza reconocimiento del entorno. Después localiza tokens de acceso, claves criptográficas y credenciales de servidor. Conforme escala privilegios, recopila tokens de “npm” que dan acceso a servidores de gestión de paquetes y a funciones de desarrollo como los pull requests. Una vez afianzado dentro del sistema, puede desplegar una capacidad destructiva que Meyers denomina “interruptor de la muerte”, capaz de borrar archivos o bloquear el acceso legítimo a la infraestructura comprometida.
La principal dificultad para los equipos de seguridad es que la actividad maliciosa se mimetiza con el comportamiento de los agentes de programación con IA, por lo que resulta prácticamente indistinguible dentro de las canalizaciones de desarrollo automatizado. Los autores del gusano introducen además pausas de horas o días entre sus acciones para dificultar la correlación de eventos. Meyers advierte de que la superficie de detección es limitada y de que la comunidad tecnológica necesita soluciones estructurales compartidas para hacer frente a este tipo de amenaza.