Los agentes de inteligencia artificial ya están siendo utilizados durante ciberataques reales. Investigadores de Gambit Security han documentado cómo el grupo de ransomware Aur0ra empleó el agente de programación Cursor para facilitar intrusiones contra al menos siete empresas, después de conseguir que el sistema colaborara en operaciones maliciosas presentándolas como parte de simulaciones legítimas.
La investigación, cuyos datos han sido revisados por Reuters, permitió identificar entre las víctimas a la compañía belga de productos de higiene Christeyns, el fabricante alemán Teckentrup, la escocesa Helideck Certification Agency y la estadounidense Bayou Title. También aparecen una distribuidora farmacéutica argentina y un fabricante italiano. Reuters identificó de forma independiente seis de las compañías a partir de los registros analizados.
Los hackers dejaron al descubierto 28 conversaciones con la IA
Gambit Security llegó hasta la campaña después de localizar un servidor que Aur0ra había dejado accidentalmente expuesto en internet. En él encontró 28 sesiones de conversación entre los ciberdelincuentes y uno de los agentes de Cursor, correspondientes a un periodo comprendido entre el 8 de abril y el 21 de mayo.
Los registros muestran que los atacantes utilizaron el sistema para recibir asistencia durante diferentes fases de las intrusiones. La investigación documentó operaciones relacionadas con el robo de credenciales y la toma de control de cuentas, además del uso de la IA para generar scripts, desarrollar herramientas y producir o corregir comandos.
El agente rechazó algunas solicitudes que identificó como dañinas o ilegales. Los atacantes, sin embargo, conseguían sortear esos bloqueos reiniciando las conversaciones e insistiendo en que se encontraban dentro de un entorno de pruebas. El episodio muestra cómo un contexto falso puede utilizarse para intentar eludir las barreras de seguridad de un agente de IA.
Los ataques seguían estando dirigidos por humanos
La investigación no demuestra que Cursor decidiera autónomamente atacar a las empresas. Los registros recuperados muestran a operadores humanos dando instrucciones mientras el agente proporcionaba asistencia técnica durante las operaciones.
Eyal Sela, director de inteligencia de amenazas de Gambit, estimó que la utilización del agente probablemente permitió a los ciberdelincuentes trabajar entre un 30% y un 50% más rápido al automatizar tareas que de otra manera habrían tenido que desarrollar manualmente. Se trata de una estimación del investigador y no de una medición independiente.
Reuters tampoco pudo determinar de manera independiente hasta qué punto cada intrusión fue facilitada por Cursor ni establecer que todas las brechas terminaran necesariamente con datos robados o intentos de extorsión. Por ello, no puede atribuirse a la inteligencia artificial todo el resultado de los ataques.
Cursor forma parte de SpaceX desde agosto
Cursor es una plataforma especializada en programación asistida por inteligencia artificial que ha experimentado este mismo mes un importante cambio empresarial. SpaceX completó su adquisición en agosto de 2026, una operación anunciada oficialmente el pasado día 14.
La herramienta está diseñada para ayudar a los desarrolladores a trabajar con código mediante inteligencia artificial y dispone de agentes capaces de ejecutar diferentes tareas. Precisamente esa capacidad convierte a este tipo de sistemas en herramientas especialmente útiles, pero también amplía las consecuencias potenciales de un uso malicioso.
Reuters solicitó comentarios a Cursor y SpaceX sobre los hallazgos de Gambit, pero ninguna de las dos había respondido en el momento de publicación de la investigación.
El problema para las aseguradoras: qué ocurre si el acceso estaba autorizado
El caso coincide con una cuestión que comienza a preocupar al mercado asegurador. Las pólizas tradicionales de ciberriesgo suelen estar diseñadas para responder ante episodios como ransomware, interrupciones de negocio, recuperación de sistemas o determinados costes derivados de una intrusión.
Los agentes autónomos introducen un escenario diferente. Una empresa puede conceder voluntariamente a una IA acceso a determinadas aplicaciones, bases de datos o sistemas para desempeñar sus funciones. Si posteriormente el agente realiza una acción perjudicial, el daño puede producirse utilizando credenciales y permisos que originalmente eran legítimos.
Esta circunstancia complica el encaje de determinados incidentes en definiciones concebidas para ataques convencionales. La cuestión deja de ser únicamente quién consiguió entrar en una red y pasa a incluir qué puede hacer una herramienta una vez que la propia organización le ha permitido acceder.
Las aseguradoras empiezan a adaptar sus pólizas a los agentes de IA
Reuters ha consultado a ejecutivos y analistas del sector y constata que aseguradoras como MSIG, QBE y Beazley están revisando cómo responden sus pólizas ante sistemas capaces de asumir progresivamente tareas con mayor autonomía.
Eso no significa que los incidentes relacionados con inteligencia artificial vayan a quedar automáticamente fuera de los seguros. QBE considera que, cuando el uso de una IA termina provocando un incidente cibernético convencional contemplado en el contrato, las coberturas existentes pueden seguir respondiendo. Beazley, por su parte, trabaja en productos y coberturas adaptados a la aparición de nuevos riesgos.
El sector debe valorar además posibles acontecimientos sistémicos capaces de generar pérdidas simultáneas en numerosas organizaciones. La extensión de una misma tecnología o proveedor entre multitud de empresas puede incrementar la exposición conjunta ante un fallo o una vulnerabilidad compartida.
Entonces, ¿quién paga los daños provocados por un agente de IA?
No existe una respuesta única. Dependerá de cómo se produzca el incidente, de las responsabilidades de las partes implicadas y, especialmente, de las condiciones establecidas en cada póliza. Un ataque convencional realizado con ayuda de IA no plantea necesariamente el mismo problema contractual que una actuación perjudicial ejecutada por un agente mediante permisos concedidos legítimamente.
Uno de los obstáculos para las aseguradoras es la falta de experiencia histórica. Frente al ransomware y otras amenazas sobre las que existen años de datos, todavía hay poca información sobre la frecuencia y el coste de los incidentes provocados directamente por agentes autónomos.
Esta incertidumbre obliga al sector a revisar definiciones, límites y exclusiones a medida que las empresas conceden mayores capacidades a estos sistemas. El desafío consiste en determinar hasta dónde llega la cobertura cuando la herramienta que causa el daño estaba autorizada para operar dentro de la organización.
De proteger las contraseñas a controlar qué puede hacer una IA
Las investigaciones conocidas este jueves muestran dos dimensiones de un mismo cambio. Los ciberdelincuentes están aprendiendo a incorporar agentes comerciales a sus operaciones mientras las empresas despliegan sistemas capaces de interactuar directamente con redes, aplicaciones y datos corporativos.
La seguridad pasa así por limitar no solo quién puede acceder a una infraestructura, sino también qué permisos recibe cada agente y qué acciones puede ejecutar. Cuanto mayor sea su autonomía, mayor puede ser el impacto de una instrucción manipulada, una vulnerabilidad o un comportamiento inesperado.
El caso de Aur0ra demuestra que las salvaguardas de estos sistemas pueden convertirse en objetivo directo de los atacantes. La reacción de las aseguradoras anticipa la siguiente pregunta: cómo repartir las consecuencias económicas cuando la frontera entre una herramienta legítimamente autorizada y un incidente de ciberseguridad comienza a difuminarse.