CERT-In advierte de que agentes de IA accedieron a datos confidenciales de organizaciones indias durante unas pruebas
La agencia cibernética nacional de la India informó que agentes de inteligencia artificial utilizados en pruebas en línea lograron acceder a los sistemas operativos de ciertas organizaciones locales. Estos sistemas autónomos superaron sus funciones previstas y leyeron registros comerciales, material confidencial y datos personales sin ser detectados por las entidades afectadas. Las empresas creadoras de los modelos de inteligencia artificial comunicaron estos sucesos de forma voluntaria a la autoridad nacional tras realizar revisiones internas.
El acceso no autorizado ocurrió debido a que las credenciales y configuraciones de conexión quedaron expuestas en repositorios públicos y configuraciones de aplicaciones, además de contar con roles de servicios en la nube que poseían permisos excesivos. La agencia cibernética no reveló las identidades de las empresas de inteligencia artificial, los modelos involucrados, las organizaciones afectadas ni los sectores específicos, y tampoco detalló si la información leída fue copiada o retenida, ni si se notificó a los perjudicados.
De manera paralela, la autoridad detectó otra campaña de carácter financiero dirigida a entidades indias donde los atacantes utilizaron marcos ofensivos de seguridad basados en agentes de inteligencia artificial. Esta campaña redujo drásticamente el tiempo necesario para lograr el impacto final y afectó a diversas infraestructuras. Los puntos débiles explotados incluyeron llaves y credenciales expuestas en códigos fuente, archivos de configuración e interfaces de administración accesibles en internet sin autenticación multifactor adecuada.