De intrusiones en sistemas hoteleros a ataques a la cadena de suministro de IA: Caso GTG-50020

Qué sucedió

GTG-50020 es un actor de habla rusa motivado por el lucro que históricamente realizaba intrusiones contra plataformas de reservas hoteleras y fintech. En una intrusión, exfiltró unos 26 GB de datos de una víctima e intentó obtener entre 1,5 y 2,5 millones de dólares mediante rescate (o vendiendo los datos en foros de la dark web).

Luego trasladó las mismas técnicas a la industria de la IA. Al inyectar instrucciones maliciosas en el entorno de pruebas automatizado de un proveedor de IA, el actor hizo que el entorno entregara las credenciales que poseía, incluidas las claves API de IA de producción de varios proveedores que ese proveedor tenía.

Estas claves robadas fueron luego abusadas por el actor: continuó simultáneamente los intentos de intrusión contra ese proveedor y otros objetivos no relacionados. De hecho, cuando obtenía las claves API de un objetivo, cambiaba automáticamente a utilizar las claves de la víctima en lugar de las suyas. La actividad de seguimiento ejecutada desde la misma infraestructura atacó a unas 30 empresas de IA en unos 4 días utilizando técnicas similares. Identificaron un camino de ataque exitoso y lo reutilizaron contra los 30 objetivos, haciendo ajustes menores por las diferencias entre ellos. El objetivo declarado del actor —perseguido a través de más de diez vías— era obtener acceso a modelos Claude no publicados. El actor nunca obtuvo acceso; cada camino intentado falló. En toda esta actividad, las claves involucradas eran claves de clientes robadas de entornos de clientes. El actor nunca vulneró los propios sistemas de Anthropic.

Este caso es la demostración más clara hasta la fecha de que la cadena de suministro de la IA se ha convertido en un objetivo criminal deliberado. El actor persiguió las claves API de producción de los proveedores de IA y tenía una ambición clara —para ser claros, una ambición que nunca se cumplió— de obtener acceso a modelos de IA no publicados.

Qué hizo la IA

Bucle de pruebas de penetración de IA dirigido por humanos: el operador mantenía un archivo de alcance por objetivo que lanzaba un flujo de trabajo personalizado que delegaba el trabajo a agentes paralelos de reconocimiento y explotación. Los hallazgos de los agentes se volvían a probar para confirmar el acceso viable; si era viable, se integraban en un informe incremental. El flujo de trabajo iteraba sobre el siguiente dominio objetivo.

Tubería de explotación autónoma: el actor utilizó una plataforma de pruebas de penetración de código abierto contenerizada, con un gateway de modelo local como interfaz. Se dirigía a las aplicaciones web del objetivo. Los agentes de trabajo ejecutaban sin supervisión pruebas de inyección, secuencias de comandos entre sitios, omisión de autenticación y falsificación de solicitudes del lado del servidor, recopilando posibles hallazgos y credenciales en el espacio de trabajo del operador. El bucle se ejecutaba con la explotación habilitada contra sistemas de producción, lo que significa que tanto intentaba identificar vulnerabilidades como las explotaba activamente en el mismo flujo de trabajo para obtener acceso.

Fábrica de cuentas fraudulentas: se configuraron proxies residenciales y perfiles de navegador anti-detección, tras lo cual los bots impulsaban los flujos de registro de los objetivos de intercambios y mercados. Servicios comerciales de resolución de CAPTCHA, sondeo automatizado de bandejas de entrada y pasos automatizados de verificación de identidad vencieron los controles de incorporación, y las cuentas verificadas resultantes se almacenaron para su uso posterior.

Capa de intercepción KYC: el actor también se dedicó al robo de credenciales y al phishing. Las víctimas eran dirigidas a dominios de verificación similares cuyo proxy inverso retransmitía el flujo real de «conoce a tu cliente» (KYC), por lo que las víctimas completaban la verificación de identidad real mientras el operador capturaba las sesiones y documentos verificados desde el retransmisor proxy intermedio. Las sesiones capturadas eran luego utilizadas por el actor desde sus máquinas para acceder a los servicios y datos objetivo.

Qué observó el informe

Este es el caso más claro que el informe utiliza para ilustrar que «la cadena de suministro de la IA se ha convertido en un objetivo criminal explícito»: el actor persiguió las claves de producción de los proveedores y tuvo la ambición de obtener modelos no publicados.

Deben tenerse en cuenta dos pruebas negativas: el acceso a modelos no publicados nunca se logró; los propios sistemas de Anthropic no fueron vulnerados y las claves robadas provenían de entornos de clientes.

El informe enumera los indicadores de compromiso relacionados (IPs de salida del atacante, etc.) al final para que los defensores los investiguen. Según los límites de seguridad de este sitio, no se reproducen los valores específicos de los indicadores.

Confirmado y desconocido

Respuesta de la plataforma

El informe divulga este caso como un ejemplo central de riesgo en la cadena de suministro y enfatiza las pruebas negativas para evitar que se interprete erróneamente como «Anthropic fue hackeada, modelos secretos robados».

Límites de la respuesta：La divulgación no significa que todos los entornos de clientes objetivo hayan sido remediados; el robo de claves de clientes ocurrió en el lado del cliente.