Informe de IA de Mandiant 2026: la factura de 50.000 dólares de un agente descontrolado y las intrusiones asistidas por IA

El informe de Mandiant, AI Risk and Resilience 2026, publicado en Google Cloud en septiembre de 2026 y cubierto esa misma semana por Help Net Security, The Hacker News y SecurityBrief, describe tres intervenciones en las que la IA fue el mecanismo y no el objetivo: una sesión secuestrada de asistente de programación con IA que propagó el gusano Shai-Hulud por unos 100 repositorios internos de un proveedor de software como servicio no identificado; una credencial de CI/CD comprometida que un intruso convirtió en un centro ofensivo asistido por IA dentro de una empresa de atención médica, exfiltrando miles de credenciales; y un agente de contabilidad que acumuló aproximadamente $50,000 en cargos de nube en menos de una hora después de que un valor nulo corrupto averiara una de sus herramientas, bloqueando una base de datos de facturación y deteniendo transacciones en vivo. En el tercer caso no participó ningún atacante. El registro en el que se basa este artículo, y las entradas registradas en torno a él, están en el archivo de incidentes de IA, que incluye las fuentes, la gravedad, la calificación de confianza y la marca de disputa propias de cada entrada.

¿Qué tipo de documento es este?

El informe se titula «Riesgo y resiliencia de la IA en 2026: un informe especial de Mandiant» en la página de recursos de seguridad de Google Cloud, y es una publicación de un proveedor, no una divulgación de una brecha. Sus estudios de caso proceden de los servicios de respuesta a incidentes de Mandiant y de las evaluaciones de su equipo de Offensive Security, y las organizaciones se identifican únicamente por sector: un proveedor de software como servicio, una organización sanitaria global y un proveedor global de servicios financieros para empresas. No se nombra a ninguna víctima, no se fecha ninguna intrusión y ninguna declaración de la víctima acompaña a ninguno de los tres.

Eso determina cómo deben interpretarse las cifras. Cada número en ellas proviene de los propios investigadores de Mandiant. La nota Frontier Ready de Cloud Security Alliance del 16 de septiembre etiqueta el cargo de aproximadamente 50.000 dólares y el volumen de 15.000 llamadas como «autodeclarado (métrica del proveedor)» y afirma que «no han sido verificados de forma independiente» —una descripción justa de todo el informe, que no publica telemetría de terceros con la que contrastar. El archivo clasifica esta entrada como un registro informativo, un informe en lugar de un incidente con daños registrados, y le asigna una confianza A sin marcarlo como disputado; esa calificación habla de lo bien documentado que está el informe, no de si una parte externa ha confirmado su contenido.

El propio planteamiento del informe es que los adversarios pasaron en 2026 de pedir a los chatbots que hicieran investigación a permitir que sistemas agénticos llevaran a cabo partes de una intrusión. Mandiant afirma que Google Threat Intelligence Group ha observado a actores desplegando herramientas autónomas, incluidas Hexstrike y Strix, para reconocimiento y recolección de credenciales, y construyendo retransmisores proxy y canalizaciones de registro automatizadas para sortear las salvaguardas y los límites de facturación de las plataformas comerciales de IA. Cita la armamentización en febrero de las habilidades de agente de OpenClaw que VirusTotal documentó, compromisos de la cadena de suministro en marzo que Mandiant atribuye al actor que rastrea como UNC6780 y que otros rastrean como TeamPCP, y una revelación de mayo que GTIG describió como el primer caso confirmado públicamente de un ciberdelincuente que utiliza un exploit de día cero desarrollado por IA, uno que eludió la autenticación de dos factores en una popular herramienta de administración de código abierto.

Caso uno: el asistente recomendó el paquete

En el primer caso, un atacante comprometió a un proveedor de software como servicio y luego tomó el control de una sesión activa de un asistente de programación con IA en la estación de trabajo de un desarrollador. Mandiant describe al asistente como «operando como un intérprete de confianza dentro del entorno»: recomendó la instalación de un paquete de software externo que el atacante ya había envenenado, y el desarrollador aceptó la recomendación. El informe señala que el asistente «funcionó inadvertidamente como un caballo de Troya».

Durante la sesión en vivo, el atacante instaló un infostealer mediante un paquete PyPI envenenado y recolectó los tokens OAuth de GitHub del desarrollador. El gusano autorreplicante Shai-Hulud se propagó entonces por aproximadamente 100 repositorios de código internos, automatizando el robo de secretos de repositorio y la exfiltración programática de código fuente de productos propietarios. El atacante también envenenó un paquete dentro del espacio de nombres oficial de la organización, y un segundo empleado descargó la versión comprometida: una infección posterior que, según Mandiant, no requirió ninguna acción adicional del intruso.

Lo que el informe no dice es cuándo ocurrió nada de esto, ni cómo consiguió el atacante el control de la sesión del asistente en primer lugar. {{1}}Hacker News{{/1}}, al informar sobre el estudio de caso el 16 de septiembre, señala ambas omisiones. La nota de investigación del 18 de septiembre de {{2}}Cloud Security Alliance{{/2}} sobre el caso califica el vector de acceso inicial como «{{3}}la cuestión abierta más importante del estudio de caso{{/3}}» y observa que los controles recomendados por Mandiant abordan hasta dónde puede propagarse una infección, no cómo se tomó el control de la sesión.

Los controles de Mandiant para este caso son tres, y son específicos respecto del fallo: aplicar hooks de verificación en IDE y CLI que comprueben cada dependencia de terceros recomendada por IA contra sumas de verificación criptográficas y una lista de permitidos aprobada; mantener las claves de API sin procesar, los tokens OAuth de larga duración y otros secretos fuera del alcance de las extensiones; y restringir la salida de red de las estaciones de trabajo para que el tráfico de dependencias se dirija solo a través de repositorios internos controlados.

Caso dos: una credencial de CI/CD transformada en un centro de co-depuración con IA

El segundo caso es una investigación de nube empresarial en una organización sanitaria global. Mandiant rastreó la actividad anómala hasta una credencial de CI/CD de desarrollador de larga duración comprometida, que el intruso utilizó para crear una instancia de VM no aislada y convertirla en un centro ofensivo activo. En lugar de crear herramientas fuera de línea, el atacante conectó modelos de lenguaje grandes directamente al servidor en ejecución e iteró contra ellos in situ.

Mandiant describe un flujo de trabajo de tres etapas. Primero llegó la preparación del contexto: paquetes de código sincronizados mediante sesiones remotas y archivos README del proyecto cargados en el contexto de chat del modelo, para orientar la generación de código posterior hacia los objetivos de la campaña. Luego vino la depuración interactiva: el atacante hizo que el modelo construyera un framework de recolección de datos con múltiples workers y resolvió junto con él errores lógicos de división de scripts, elevando la cadencia de exfiltración a un ciclo de tres horas. Por último, evasión y explotación: el modelo escribió scripts dinámicos de rotación de IP para cambiar sobre la marcha direcciones de servidores incluidas en listas de bloqueo, y codesarrolló una herramienta basada en Rust para iniciar sesión en cuentas de víctimas y verificar saldos financieros.

Mandiant afirma que la campaña comprometió miles de credenciales y exfiltró claves de API y secretos financieros recopilados a un repositorio controlado por el atacante. El informe no indica a qué cuentas se dirigió la herramienta Rust, a qué pertenecían los saldos financieros que verificó ni qué ocurrió después con las credenciales. No se mencionan datos de pacientes en ningún lugar del estudio de caso.

Los controles recomendados siguen a la credencial en lugar de al modelo: sustituya las claves de acceso de larga duración por relaciones de confianza de Workload Identity Federation de corta duración mediante OIDC; contenga la salida con VPC Service Controls para que los entornos de ejecución y de desarrollo no puedan llegar a proveedores de modelos externos no aprobados; ejecute un escaneo continuo de secretos en todos los espacios de trabajo; y coloque un firewall de prompts en tiempo de ejecución, como Model Armor, en la ruta para interceptar credenciales codificadas de forma rígida y bloquear scripts de utilidades ofensivos a medida que se ejecutan.

Caso tres: el agente que gastó $50,000 en menos de una hora

El tercer caso no tuvo adversario. Un proveedor global de servicios financieros empresariales desplegó un agente para conciliar anomalías en su libro mayor contable y le otorgó acceso de lectura y escritura a bases de datos internas de facturación. Un valor nulo corrupto averió la herramienta de formato del agente, y este respondió entrando en lo que Mandiant denomina un bucle de razonamiento recursivo sin restricciones para encontrar una solución por fuerza bruta.

En menos de una hora, realizó más de 15.000 llamadas a la API de razonamiento de alta frecuencia y alto coste, lo que produjo un repentino pico en la facturación de la nube de aproximadamente $50.000. El mismo bucle provocó un grave bloqueo de la base de datos local que detuvo transacciones comerciales activas. Mandiant clasifica el caso como «denial-of-wallet», y las soluciones que prescribe son operativas más que a nivel de modelo: un límite de gasto, recursión acotada y un interruptor de circuito para detener a un agente que sigue fallando en la misma tarea.

El informe no dice si el cargo se pagó, se acreditó o se impugnó, cuánto tiempo se detuvieron las transacciones, si los clientes se vieron afectados ni qué cambió la empresa después. Tampoco proporciona una fecha. La recopilación de SecurityWeek del 18 de septiembre lo agrupa bajo lo que el informe señala como una nueva categoría de riesgo financiero en lugar de una intrusión convencional.

Los controles propuestos por Mandiant son, en consecuencia, financieros: definiciones de identidad y acceso basadas en roles para los agentes, umbrales de límite de costos y monitoreo como gobernanza, además de cortacircuitos financieros automatizados que detienen a un agente tras un número determinado de fallas consecutivas en las tareas. A nivel de servicio y de proyecto, recomienda límites financieros estrictos, límites de recursión acotados y límites de velocidad, de modo que un bucle de autocorrección se vea limitado antes de convertirse en una caída del servicio.

Qué está establecido, qué se atribuye, qué no se divulga

Confirmado. Mandiant publicó este informe, y dice lo que se resume arriba. Cuatro medios del sector se hicieron eco de él en un plazo de tres días entre sí —Help Net Security y The Hacker News el 16 de septiembre, SecurityBrief UK el 17 de septiembre y SecurityWeek el 18 de septiembre—, y sus versiones coinciden con el informe en todas las cifras que repiten. La Cloud Security Alliance publicó una nota de investigación independiente sobre el primer caso el 18 de septiembre, en la que llega a la misma interpretación de su mecánica y a la misma conclusión sobre lo que Mandiant omitió.

Atribuido, no verificado de forma independiente. Las cifras concretas son de Mandiant: aproximadamente 100 repositorios, miles de credenciales, un ciclo de exfiltración de tres horas, más de 15.000 llamadas de razonamiento, alrededor de 50.000 dólares, menos de una hora. Ningún medio ha publicado telemetría de ninguna de las tres víctimas, y ninguno de los tres ha sido nombrado por nadie. La corroboración que existe es corroboración del contenido del informe, no de los hechos. Esa distinción es todo aquello en lo que un lector puede confiar aquí, y la calificación de confianza del archivo también debe leerse así.

No revelado. El informe no da fechas para ninguno de los tres encargos, ni nombres de víctimas, ni relata cómo se tomó el control de la sesión del asistente en el caso uno. No dice si se revocaron los tokens OAuth de GitHub y los secretos de repositorio recolectados, si se usaron o restablecieron las miles de credenciales del caso dos, si se vieron afectados los titulares de datos de la organización sanitaria, si se recuperó el cargo del agente contable, o qué cambió cada una de las tres organizaciones después. Este artículo no encontró ninguna declaración de víctima, aviso de regulador ni reporte de seguimiento publicado desde el 16 de septiembre que cubra esas lagunas.

Donde la cobertura diverge. La nota de Cloud Security Alliance describe la segunda infección del caso uno como propagada a través del espacio de nombres npm propio de la empresa. El texto de Mandiant solo dice "un paquete dentro del espacio de nombres oficial de la organización" y no menciona allí ningún ecosistema; la interpretación de npm es una adición, no una cita. Por separado, The Hacker News es explícito en que el gusano de este caso no está vinculado, según la evidencia disponible, con el gusano npm de agosto que plantó hooks para asistentes de programación, ni con una variante de Shai-Hulud encontrada escaneando 469 ubicaciones en busca de credenciales —el mismo nombre de familia, campañas separadas, sin evidencia en el artículo que las vincule.

Lo que dice el informe debería cambiar

Las recomendaciones de Mandiant se repiten a lo largo de los casos prácticos del informe: abandonar las credenciales de larga duración y las cuentas de servicio en favor de identidades vinculadas a una carga de trabajo y de corta duración por diseño; tratar los asistentes de programación con IA y los servidores MCP como sesiones privilegiadas cuyas extensiones y hooks de CLI se verifican antes de su ejecución; confinar las cargas de trabajo de los agentes en perímetros de red que bloqueen la salida hacia proveedores de modelos no aprobados; e instrumentalizar el uso de tokens, las llamadas a API entre aplicaciones y el acceso de los agentes a activos sensibles, de modo que una primera lectura de un repositorio sensible aparezca como una señal en lugar de diluirse entre el tráfico legítimo de herramientas.

En cuanto al coste, traza una línea divisoria entre la gobernanza de la IA y la gobernanza para la IA: por un lado, las políticas que fijan el apetito de riesgo y las normas de contratación; por otro, los límites técnicos impuestos. El agente de contabilidad es el ejemplo del informe de cómo falla el segundo tipo: según el caso de Mandiant, nada en su despliegue acotaba el bucle, y los controles que lo habrían detectado —un límite máximo, un límite de frecuencia, un interruptor de circuito— son controles corrientes aplicados a una carga de trabajo poco habitual.

Los tres casos no comparten una causa. Uno es un problema de confianza, en el que la recomendación de un asistente tenía la autoridad de la de un colega. Uno es un problema de credenciales anterior a cualquier modelo, con los modelos haciendo que la intrusión fuera más rápida y adaptable una vez dentro. El otro no es ninguno de los dos: no hay atacante, no hay exploit, solo un agente al que se le dio acceso de escritura a un libro mayor y ningún límite a lo que podía gastar para arreglar una herramienta averiada. Lo que comparten es que, en cada uno, el sistema de IA tenía una autoridad que nadie había delimitado: recomendar, reconfigurar, seguir intentándolo.