Agentes de Claude, DeepSeek y Moonshot contra 100 empresas por 8.000 dólares: el crimen ya escala como software

Un atacante de habla china desplegó agentes de IA construidos sobre Claude (Anthropic), DeepSeek y Moonshot AI para atacar a más de 100 empresas durante cinco días, según el informe recogido por OODAloop. La tarea principal encomendada a esos agentes era el robo de datos de tarjetas de crédito, y las víctimas se concentraron en comercio minorista, hostelería y sanidad. El coste total de desplegar la infraestructura de agentes fue de 8.000 dólares. Analistas de seguridad citados en el informe estiman que la campaña pudo llegar a exfiltrar datos de tarjetas de cerca de 600.000 usuarios, aunque el impacto real está todavía sin medir.

Conviene manejar esas cifras con precisión, porque la aritmética es la noticia. Si la estimación superior se confirmara, 8.000 dólares por 600.000 registros salen a poco más de un céntimo por víctima potencial; y más de 100 objetivos en cinco días son unas veinte empresas al día, un ritmo que hace una década exigía un equipo humano y meses de reconocimiento. Subrayemos el condicional: los 600.000 son una estimación de alcance potencial hecha por analistas, no un daño verificado. Pero incluso descontando el optimismo del atacante, el orden de magnitud del coste unitario del fraude ha caído a un territorio nuevo.

El detalle técnicamente más interesante pasa desapercibido en el titular: el atacante no usó un modelo, usó tres, de tres laboratorios distintos y de dos jurisdicciones. Un agente, a diferencia de un chatbot, no responde preguntas: ejecuta tareas en bucle —reconocer, probar, explotar, extraer— con supervisión humana mínima. Repartir ese bucle entre proveedores tiene una consecuencia incómoda para el modelo de gobernanza actual: si Anthropic detecta y corta las cuentas implicadas, la campaña puede recomponerse sobre DeepSeek o Moonshot sin rehacer el diseño. La mitigación a nivel de proveedor, que es el mecanismo del que presumen los laboratorios frontera, se convierte en un bache, no en un muro. Y no existe hoy ningún canal formal de compartición de indicadores entre laboratorios occidentales y chinos que permita cerrar las tres puertas a la vez.

Esto encaja con la línea que venimos sosteniendo en Zendoric: el riesgo agéntico serio no es la superinteligencia lejana, es la industrialización del fraude ahora. Ya hemos analizado casos documentados de robo masivo de credenciales planificado y ejecutado en horas sin intervención humana; este episodio añade la pieza que faltaba, la multiproveeduría. La asimetría no es de capacidad —los defensores tienen acceso a modelos igual de buenos— sino de calendario y de fricción: el atacante despliega en una tarde y no pide permiso a nadie; el defensor pasa por comités, presupuestos y ciclos de compra. De ahí que la defensa se esté replegando al runtime, al endpoint y a la telemetría de comportamiento, que es donde el daño todavía se ve.

Nuestra lectura: el coste marginal del ataque se ha desplomado, y eso obliga a mover la defensa desde el perímetro del modelo hacia la infraestructura que realmente puede contenerlo. En el caso concreto de las tarjetas, eso significa tokenización, detección de anomalías en el flujo de pago y límites de exfiltración por sesión: capas que no dependen de que ningún laboratorio adivine a tiempo qué está haciendo su API. A escala de sector, significa asumir que la gobernanza modelo a modelo es insuficiente por diseño cuando el adversario compone su pipeline con lo que hay disponible en el mercado global.

Y, aun así, no leemos esto como el principio del apocalipsis digital. La misma capacidad agéntica que abarató el ataque abarata la auditoría continua, el parcheo y la correlación de señales, y ahí el defensor tiene una ventaja estructural que el atacante no tiene: los datos de su propia casa. El problema es de transición, no de destino. La IA que queremos —la que acorte los ciclos de descubrimiento de fármacos y libere tiempo humano— necesita una capa de confianza que hoy no está construida. Episodios como este son la factura de construirla tarde, no el argumento para no construirla. Lo que hay que vigilar en las próximas semanas: si se confirma la cifra de 600.000 afectados y si los tres proveedores implicados publican algo parecido a un post-mortem común. Lo segundo importa más que lo primero.