CTO de Ledger: así de desigual es pelear contra un ataque con IA

Charles Guillemet, director de tecnología (CTO) de Ledger, afirmó este 20 de julio en X que el ataque que sufrió esta semana la plataforma Hugging Face fue ejecutado por completo por un «enjambre de agentes autónomos de inteligencia artificial».

Hugging Face es una plataforma en la que empresas y desarrolladores publican y comparten modelos y conjuntos de datos de inteligencia artificial. Según un comunicado de la compañía publicado el 16 de julio, el ataque comenzó cuando un conjunto de datos malicioso, subido a la plataforma, explotó dos vulnerabilidades en el proceso de carga de datos: una de ejecución remota de código y otra de inyección en la configuración. Esto permitió ejecutar código malicioso en un servidor interno de procesamiento.

Para Guillemet, lo más preocupante no es el mecanismo técnico del ataque, sino la asimetría que reveló entre quien ataca y quien defiende.

Lo incómodo es que asegurar cualquier cosa en la era de la inteligencia artificial se vuelve increíblemente difícil, y la razón es la asimetría. El atacante no estaba sujeto a ninguna política de uso y operó a la velocidad de una máquina. El defensor quedó bloqueado de los mejores modelos porque una barrera de seguridad no puede distinguir a quien responde de un incidente de un atacante.

Charles Guillemet, CTO de Ledger.

Con esa asimetría, el CTO de Ledger se refiere a que el atacante puede usar cualquier modelo de inteligencia artificial sin ninguna restricción de uso para diseñar y ejecutar el ataque, mientras que el defensor sí queda sujeto a las políticas de seguridad que los proveedores de esos mismos modelos les imponen a sus usuarios, lo que en la práctica le resta capacidad de reacción frente a un adversario que no tiene esa limitación.

Según Guillemet, un ataque ejecutado por agentes autónomos ya dejó de ser un escenario hipotético para la industria: «El atacante agente no es un escenario futuro: esto convirtió en un hecho visible algo que ya sabíamos que se acercaba», escribió. El directivo agregó que «decir que se endureció la configuración deja de ser una defensa cuando el adversario ejecuta una campaña paciente, de varias etapas, a un costo casi nulo».

Frente a ese escenario, el CTO de Ledger remarcó que «las únicas respuestas durables que reducen aquello en lo que hay que confiar son achicar la superficie de ataque, tener listo antes del incidente un modelo capaz que uno mismo controle y avanzar hacia mecanismos que vuelvan clases enteras de ataque imposibles en términos criptográficos, en lugar de simplemente poco probables en la operación».

Este caso se suma a advertencias previas sobre el papel de la IA en los ataques dentro del ecosistema de activos digitales. Maximiliano Carjuzaa, cofundador de Money On Chain, contó a CriptoNoticias que prácticamente la totalidad de los ataques recientes contra protocolos de finanzas descentralizadas (DeFi) usaron inteligencia artificial en alguna etapa, y relató que una herramienta de este tipo detectó en su propio protocolo, en cuestión de un minuto, una falla que había sobrevivido a cinco auditorías humanas y siete años en producción.

Más detalles del ataque, según el informe de Hugging Face

Según detalló la compañía en su comunicado, una vez dentro del servidor de procesamiento, el atacante escaló su acceso a otras máquinas del clúster, robó credenciales de la nube y del clúster, y se movió lateralmente por la infraestructura durante un fin de semana.

La operación sumó más de 17.000 acciones automatizadas, ejecutadas en entornos aislados de corta duración, con un canal de comando y control que se reconfiguraba a sí mismo usando servicios públicos de internet.

Hugging Face detectó el ataque gracias a un sistema propio que usa modelos de lenguaje para separar señales reales de ruido en su monitoreo de seguridad. Sin embargo, para reconstruir lo sucedido, la compañía debió abandonar los modelos comerciales: las barreras de seguridad de esos proveedores bloquearon las solicitudes de análisis, porque incluían comandos de ataque reales y no podían distinguir a un investigador de un atacante.

Hugging Face terminó usando GLM 5.2, un modelo de pesos abiertos, ejecutado en su propia infraestructura, lo que evitó que los datos del atacante salieran de su entorno. Desde la plataforma aclararon que no hallaron evidencia de manipulación en los modelos, conjuntos de datos o espacios públicos que usan sus usuarios, que ya cerraron las vías de ejecución de código explotadas y que reportaron el incidente ante las autoridades.

Para Guillemet, el episodio confirma que la ciberseguridad dejó de ser solo un problema de configuración y pasó a depender de qué herramientas de inteligencia artificial puede usar cada lado de una misma disputa.