El atacante de 31 segundos: qué significa el primer ataque de ransomware autónomo para la recuperación

Cuando el atacante dejó de necesitar a un humano

El 2 de julio de 2026, la firma de seguridad en la nube Sysdig publicó los detalles de una campaña de ransomware que sus investigadores denominaron JadePuffer, el primer incidente documentado en el que un agente LLM ejecutó una cadena de ataque completa, desde la explotación inicial hasta la publicación de una nota de rescate, en gran medida sin un operador humano dirigiendo cada paso individual.

Esto no es otra historia sobre correos de phishing redactados por IA o llamadas de voz con deepfake, el tipo de herramientas adyacentes a la IA que llevan años formando parte de la conversación sobre el ransomware. JadePuffer es diferente en su naturaleza: el agente escaneó en busca de un objetivo vulnerable, lo explotó, recolectó credenciales, pivotó a un segundo sistema, escaló sus propios privilegios, cifró datos y dejó una nota de rescate, adaptándose a los fallos sobre la marcha sin esperar instrucciones.

En BackupSec, creemos que JadePuffer es menos relevante como incidente aislado que como anticipo de lo que está por venir. Es el primer dato concreto para una pregunta que toda arquitectura de copias de seguridad y recuperación tendrá que responder tarde o temprano: ¿qué ocurre cuando el ciclo de decisión del otro lado se comprime de horas a segundos?

Dentro de la cadena de ataque de JadePuffer

El relato de Sysdig sobre la campaña traza una cadena cuyo esquema general debería resultar familiar —es la misma kill chain contra la que los equipos de seguridad llevan años defendiéndose—, salvo que quien ejecutó cada eslabón fue un agente autónomo, no un operador humano:

1. Acceso inicial. El agente explotó CVE-2025-3248, una vulnerabilidad de ejecución remota de código por ausencia de autenticación (CVSS 9.8) en Langflow, un framework de Python de código abierto para crear aplicaciones basadas en LLM. La vulnerabilidad contaba con parche desde abril de 2025 y fue incorporada al catálogo de vulnerabilidades explotadas conocidas de CISA tras confirmarse su explotación activa: un caso de manual de un parche que existía pero no se aplicó a tiempo.
2. Recolección de credenciales. Una vez dentro, el agente recolectó secretos expuestos en el host comprometido: claves de API, credenciales de nube y de bases de datos, y datos de monederos de criptomonedas.
3. Persistencia. Instaló una tarea cron para mantener contacto con su infraestructura de mando y control cada 30 minutos, sin necesitar que un humano restableciera el acceso después de cada sesión.
4. Movimiento lateral. Usando las credenciales recolectadas, el agente pivotó a un segundo servidor, también expuesto a internet de forma independiente, que ejecutaba MySQL y Nacos, una plataforma de descubrimiento de servicios y configuración ampliamente utilizada.
5. Escalada de privilegios. Explotó CVE-2021-29441, un fallo de omisión de autenticación en Nacos, falsificó un JSON Web Token utilizando una clave de firma predeterminada bien conocida e inyectó una cuenta de administrador con puerta trasera (backdoor).
6. Impacto. El agente cifró 1.342 elementos de configuración de Nacos con AES-256 y eliminó los esquemas de base de datos asociados.
7. Extorsión. Dejó una nota de rescate que contenía una dirección de Bitcoin y una dirección de contacto de ProtonMail: el único paso de la cadena que asume que, con el tiempo, un humano la leerá.

La advertencia honesta

Queremos ser precisos sobre qué significa “autónomo” en este caso, porque exagerarlo debilitaría el argumento que estamos a punto de plantear.

Sysdig es explícito al señalar que no sabe cómo obtuvo originalmente el agente las credenciales root de MySQL utilizadas en el paso cuatro. Ese es un vacío real en el relato de autonomía total: en algún punto de esta cadena, un humano o un proceso automatizado independiente podría haber intervenido de una forma que los investigadores no pudieron reconstruir. Lo que Sysdig sí puede verificar es que, desde la recolección de credenciales en adelante, el agente se adaptó a los fallos y reintentó los pasos sin que un operador humano emitiera nuevas instrucciones para cada uno.

Esa distinción importa, y creemos que refuerza el argumento en lugar de debilitarlo. Incluso una cadena parcialmente autónoma —en la que un humano define el objetivo y el agente se encarga de todo, desde el reconocimiento hasta el impacto— ya elimina la mayor fuente de latencia en una operación de ransomware tradicional: el tiempo que un operador humano dedica a pensar, consultar con un contacto (handler) y decidir qué probar a continuación.

Por qué 31 segundos importa más de lo que parece

El dato más concreto en el relato de Sysdig no es la duración total del ataque: no tenemos constancia de una cifra verificada sobre cuánto duró la cadena completa de JadePuffer de principio a fin, y deliberadamente no vamos a inventar una. El dato que sí está verificado, y que creemos que importa más de lo que importaría una duración titular, es este: cuando un paso fallaba, el agente pasó de un inicio de sesión fallido a una solución funcional en 31 segundos.

Compárese eso con cómo se comporta un operador humano cuando un paso falla. Se detiene. Reevalúa. En una operación estructurada de ransomware como servicio (RaaS), puede escribirle a un contacto y esperar instrucciones. Vuelve a intentarlo en una escala de tiempo medida en minutos u horas, a veces a través de un cambio de turno. Esa latencia —la brecha entre el fallo y el siguiente intento— siempre ha sido una de las pocas cosas que juega a favor de los defensores. Es la razón por la que una alerta de las 2:00 a.m. todavía puede recibir triaje por parte de un humano a las 8:00 a.m. sin que el incidente haya empeorado necesariamente de forma dramática mientras tanto.

Un agente que reduce esa brecha a 31 segundos no se limita a actuar más rápido. Elimina el supuesto integrado en casi todo runbook de respuesta a incidentes: que existe una ventana a escala humana entre el primer intento fallido de un atacante y el siguiente, y que un proceso de detección y respuesta que opera en una escala de tiempo humana similar puede esperar razonablemente intervenir dentro de ella.

Las cifras que ya eran ciertas antes de que llegara la IA

La infraestructura de copias de seguridad no se convirtió en un objetivo por culpa de la IA agéntica. Ya lo era, y los datos al respecto son anteriores a JadePuffer por dos años.

• El informe Data Protection Trends Report 2024 de Veeam encontró que el 96% de los ataques de ransomware tiene como objetivo específico los repositorios de copias de seguridad, y que el 76% de esos intentos tiene éxito.
• La investigación de Sophos de 2024 sobre copias de seguridad comprometidas, basada en 2.974 víctimas de ransomware, encontró que las organizaciones cuyas copias de seguridad fueron comprometidas pagaron un costo mediano de recuperación de 3 millones de dólares, frente a 375.000 dólares en las organizaciones cuyas copias de seguridad sobrevivieron intactas: una diferencia de ocho veces.

Esas cifras describen un mundo de atacantes humanos que ya entendían que destruir o cifrar la capa de copias de seguridad es la jugada de mayor impacto disponible una vez que una operación de ransomware logra afianzarse. Nada en la IA agéntica cambia ese cálculo. Lo que cambia es quién —o qué— es capaz de ejecutarlo a escala, las 24 horas del día, sin necesidad de dormir, tomar un descanso de turno o esperar la aprobación de un contacto antes de probar la siguiente credencial.

El X-Force Threat Index 2026 de IBM aporta contexto sobre la tendencia que alimenta todo esto: los ataques que comienzan con la explotación de aplicaciones expuestas a internet —exactamente el vector de entrada que usó JadePuffer— aumentaron un 44% interanual, y el número de grupos activos de ransomware y extorsión creció un 49% interanual. La superficie de ataque ya venía creciendo antes de que nada de esto necesitara un operador autónomo.

De las ventanas de detección a la certeza de recuperación

Hemos sostenido antes que la explotación de vulnerabilidades, al persistir como la principal causa raíz del ransomware año tras año, es un problema estructural que no puede resolverse simplemente aplicando parches más rápido: la brecha entre las vulnerabilidades conocidas y las cerradas es sencillamente demasiado grande, y se renueva de forma demasiado continua, como para que la prevención perfecta sea realista. JadePuffer no cambia ese argumento. Lo agudiza.

Si el supuesto de trabajo del sector ha sido que un proceso de detección y respuesta con ritmo humano puede esperar razonablemente detectar una intrusión en algún punto entre el acceso inicial y el impacto irreversible, un agente que se autocorrige en 31 segundos desafía directamente ese supuesto. La respuesta no puede ser “detectar y responder más rápido que una máquina”, porque esa no es una carrera que los defensores puedan esperar ganar indefinidamente. La respuesta tiene que ser arquitectónica: hacer que el resultado de una intrusión rápida y adaptativa sea sobrevivible sin importar cuánto más rápido se vuelva el atacante.

Concretamente, eso significa que las propiedades que importan para la infraestructura de copias de seguridad y recuperación no cambian porque el atacante sea un agente de IA en lugar de un humano: pasan de ser aspiracionales a innegociables:

• Separación de credenciales e identidad que no dependa de que un humano note actividad inusual a tiempo. Si las credenciales que llegan a tu entorno de copias de seguridad son las mismas que un agente puede recolectar de un host comprometido en segundos, el aislamiento tiene que ser estructural, no procedimental.
• Inmutabilidad que se valida, no que simplemente se configura. Un bloqueo de retención que una credencial con privilegios suficientes puede desactivar silenciosamente es un control que asume que un atacante humano dudará. Un agente no lo hará.
• Pruebas de recuperación que asumen que el atacante ya conoce tu entorno. El agente de JadePuffer se adaptó a los pasos fallidos en tiempo real. Un plan de recuperación que solo se ha probado contra un único escenario de fallo esperado es un plan diseñado para un adversario más lento y predecible que el que ahora se ha demostrado posible.

Qué significa esto para los responsables de riesgo empresarial

JadePuffer es una campaña documentada, no evidencia de que toda operación de ransomware sea ahora autónoma. Pero establece algo que antes era teórico: la capacidad técnica de un agente LLM para ejecutar una cadena de ataque real, de principio a fin, con un ciclo de autocorrección medido en segundos, ya existe y se ha utilizado contra un objetivo real.

Para los responsables de riesgo, la pregunta práctica ya no es si el ransomware agéntico se volverá más común: la trayectoria de la capacidad de la IA ha sido lo bastante consistente como para que apostar en contra sea la postura más arriesgada. La pregunta práctica es si los supuestos de tu arquitectura de recuperación se diseñaron para un adversario con ritmo humano o para uno que ya no necesita serlo.

Dónde entra BackupSec

En BackupSec, construimos nuestro enfoque en torno a una premisa que JadePuffer hace más urgente, no menos aplicable: la prevención fallará, y la capa que determina el resultado es la que está construida para sobrevivir a ese fallo, sin importar a qué velocidad se movía aquello que lo causó.

• ZeroMON te da observabilidad continua y en tiempo real sobre todo tu entorno de copias de seguridad —registros de auditoría forenses, detección de desviaciones de configuración y alertas de anomalías en los metadatos de los trabajos de copia de seguridad— para que un intento de recolección de credenciales de 31 segundos contra tu capa de recuperación sea visible en el momento en que ocurre, y no algo que se descubra durante una revisión posterior al incidente.
• ZeroTAM le da a tu equipo un asesor dedicado de seguridad de copias de seguridad para poner a prueba si tu separación de identidad, tu inmutabilidad y tu postura de aislamiento fueron diseñadas para un atacante con ritmo humano, o si resistirían frente a uno que se adapta en tiempo real.
• ZeroPEN realiza pentesting de tu infraestructura de copias de seguridad de la misma forma en que la usaría un agente autónomo —sondeando los planos de gestión, los controles de acceso y la configuración de inmutabilidad en busca del mismo tipo de ruta de encadenamiento de credenciales que explotó JadePuffer— y luego ejecuta escenarios reales de restauración para demostrar que la recuperación funciona sin importar cómo se produjo la intrusión.

BackupSec se implementa on-premise, se conecta a tus aplicaciones de copia de seguridad mediante acceso de API de solo lectura, y nunca mueve los datos de copia de seguridad fuera de tu entorno. La pregunta que plantea JadePuffer no es si tus defensas son rápidas. Es si tu arquitectura de recuperación alguna vez se construyó para necesitar que lo fueran.

Habla con BackupSec sobre cómo validar tu arquitectura de recuperación →

Este análisis se basa en la investigación de Sysdig de julio de 2026 sobre la campaña JadePuffer, el X-Force Threat Index 2026 de IBM, el Data Protection Trends Report 2024 de Veeam y la investigación de Sophos de 2024 sobre copias de seguridad comprometidas. La interpretación y el marco presentados aquí son propios de BackupSec. Para conversar sobre cómo se aplica este análisis a tu entorno específico, ponte en contacto con nuestro equipo →