Un agente de IA entró en el Active Directory de un centro de salud en 20 minutos: el cuello de botella ya no es la habilidad

Por El Ecosistema Startup · 25 de octubre de 2026.

Un agente de inteligencia artificial obtuvo un usuario y una contraseña del servidor que gestiona las autenticaciones de una entidad de salud argentina en unos 20 minutos. Lo logró después de que su primera táctica quedara bloqueada por un cortafuegos. Así lo recoge una investigación de CrowdStrike publicada el 21 de octubre. La firma atribuye la campaña a un operador que habla español e inglés y que habría vulnerado al menos 15 entidades sanitarias entre mayo y agosto de 2026.

Según CrowdStrike, el esquema combinaba dos agentes construidos sobre Claude Code, la herramienta de programación de Anthropic. Uno hacía de supervisor y elegía la siguiente tarea dentro de una secuencia predefinida. El otro la ejecutaba y reportaba el avance para que el ciclo no se detuviera. La empresa lo describe como una versión reconstruida de PentestGPT, un proyecto abierto para pruebas de penetración (evaluaciones autorizadas en las que un especialista intenta entrar en un sistema para hallar fallos antes que un delincuente). El operador añadió servidores MCP y programas de explotación en Python.

La diferencia con el malware clásico es la improvisación. Un programa malicioso tradicional repite pasos fijos y se detiene ante el primer obstáculo. Aquí, según el informe, el sistema reinterpreta el terreno y cambia de táctica en menos de un minuto. Todo el andamiaje quedó a la vista por un descuido de los atacantes: dejaron expuestos en internet los directorios con sus herramientas, y los analistas pudieron leer las instrucciones, las respuestas del modelo y los momentos en que intervenía una persona.

El episodio más llamativo es de iniciativa, no de velocidad. El agente conectó por sí solo dos organizaciones de salud que el operador ya había vulnerado por separado. Comprobó que el acceso de la primera servía de puente hacia la segunda y, en doce minutos y medio, identificó esa ruta, revisó archivos y halló un camino hacia un servidor interno. Según el informe, la instrucción inicial no mencionaba ese movimiento.

Conviene medir lo que se sabe y lo que no. CrowdStrike afirma que al menos 15 entidades fueron vulneradas, pero solo documenta la extracción de credenciales e historias clínicas de al menos una. El informe no publica los nombres, no precisa cuántos pacientes tienen datos comprometidos y no confirma interrupciones asistenciales ni peticiones de rescate. Marcos Ferreira, de CrowdStrike, explicó que la compañía busca avisar a los responsables antes de publicar, aunque dar con el canal correcto puede ser difícil.

El caso forma parte de un informe más amplio sobre cuatro operadores observados entre mayo y agosto. Uno de habla china trabajó con más de 20 objetivos, incluidas entidades de gobierno de dos países. Otro, de habla indonesia y con conocimientos básicos limitados, reunió 819 habilidades públicas y aun así vulneró dominios gubernamentales. Un grupo de habla rusa robó datos de clientes de un proveedor estadounidense de software con un flujo de siete pasos y autonomía casi total. Según Reuters, CrowdStrike también atribuyó los ataques recientes a bancos surcoreanos a un sospechoso de 26 años radicado en China que usó un agente chino de desarrollo junto con Claude Code. Shinhan Bank reportó la filtración de datos de unos 25.000 clientes. Las aseguradoras de ciberriesgo, añade Reuters, revisan sus pólizas para decidir si un sistema autónomo encaja en la definición de atacante y quién responde por sus daños.

CrowdStrike proyecta que estas intrusiones crecerán en volumen y sofisticación en los próximos 12 meses.

**Nuestra lectura.** La tesis es sencilla: el cuello de botella del ataque ha dejado de ser la pericia y ha pasado a ser la superficie expuesta. Lo que antes pedía un equipo con semanas de reconocimiento cabe hoy en una sesión de trabajo de una sola persona. El caso del operador indonesio, con conocimientos limitados y aun así exitoso, es quizá el dato más revelador: la IA agéntica reparte capacidad ofensiva hacia abajo, hacia quien antes no podía.

Es, además, un ejemplo de manual de lo que defendemos desde esta casa: el riesgo real de la IA a corto plazo no está en una superinteligencia lejana, sino en la industrialización del fraude y la intrusión con herramientas que ya existen. Y hay un matiz importante: se trata de un informe de un proveedor de seguridad que vende defensa. Sus conclusiones son verosímiles y están respaldadas por material expuesto por los propios atacantes, pero el dimensionado (15 entidades, solo una con extracción documentada) pide cautela antes de hablar de una oleada.

Lo más incómodo es que lo que falló no fue exótico. Según Ferreira, los agentes aprovechan fallas básicas de higiene digital: controles débiles y redes sin segmentación. Y las barreras de los modelos se eluden con un viejo truco de ingeniería social, decir que se trata de una prueba autorizada, con documentos falsos e insistencia. Aquí la gobernanza de los proveedores de modelos tiene trabajo pendiente: distinguir al pentester legítimo del atacante es un problema abierto, y endurecer en exceso penalizaría a los defensores.

En general, la autonomía funciona igual para defender que para atacar. Esa simetría es la razón para el optimismo de largo plazo: la detección y la respuesta automatizadas pueden escalar al mismo ritmo, y una infraestructura sanitaria bien segmentada será mucho más difícil de abatir que la actual. Pero la transición es dura, y la pagan los hospitales con menos presupuesto, que en América Latina son muchos. Hasta que esas defensas lleguen, la medida útil no es cuánto se tarda en reaccionar, sino en cuántos minutos se detecta la intrusión. Si la respuesta se cuenta en horas, el atacante ya habrá terminado.

Queda una deuda pendiente: sin la lista de las 15 entidades, no sabemos si los pacientes afectados han sido avisados. Esa transparencia, más que el titular tecnológico, será la prueba de madurez del sector.