«Octubre Negro» es el nombre con el que circula en redes una semana cargada de brechas, vulnerabilidades y ataques con la inteligencia artificial como hilo común. El término lo difundió el 22 de octubre una cuenta de X, AISafetyMemes, que calificó las 48 horas anteriores como las peores de la historia de la ciberseguridad, según recoge SecurityToday.
Ver la publicación de @AISafetyMemes en X
Conviene separar lo documentado de lo que es titular. Hay casos reales y graves, con la IA usada para atacar y para defender, pero buena parte de lo reunido bajo esa etiqueta son divulgaciones públicas de incidentes que llevaban meses en marcha, no un estallido nuevo.
¿Qué es el Octubre Negro y hay una ola coordinada de ataques con IA?
No hay constancia de una ola coordinada. El análisis de SecurityToday sostiene que el aumento se debe sobre todo a divulgaciones y no a ataques nuevos, y cita casos como el de ETS en California, con datos copiados entre mayo y septiembre, o el de una vulnerabilidad de Palo Alto explotada desde mayo.
La IA aparece en casos concretos, no como causa general. En ese mismo análisis, Rapid7 cifra en un 8 % los informes de amenazas que identifican la IA como componente operativo de los ataques. Aquí hablamos de agentes de IA, programas que reciben un objetivo, exploran, interpretan errores y adaptan sus acciones, no de simples asistentes que redactan texto.
PHP2Shell: qué se sabe del fallo crítico en PHP
PHP2Shell agrupa dos vulnerabilidades críticas en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619), con una puntuación CVSS conjunta de 9,2 sobre 10. Las encontró Wiz Research junto con Calif y OpenAI, según Recorded Future, y el propio equipo de Wiz cuenta que se apoyó en modelos como Gemini 4 Argon y GPT-5.6 Sol para el descubrimiento, el exploit y la validación del parche.
El código vulnerable llevaba más de una década en un lenguaje que, según Wiz, mueve el 70 % de los sitios web del mundo. Wiz avisó a PHP el 24 de agosto y los parches llegaron el 21 de octubre en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12; las ramas sin soporte no reciben corrección. Tienes más detalle en nuestro artículo sobre el fallo crítico en PHP descubierto por IA.
Sobre su explotación hay avisos, pero no un balance. Patchstack recibió reportes de explotación activa horas antes del parche y Cloudflare desplegó protecciones, aunque Recorded Future subraya que todavía no se conoce el alcance de las explotaciones exitosas.
ARTEX y Cairn: agentes de IA al servicio del atacante
ARTEX es un framework de pruebas de penetración de código abierto que puede usar cualquier modelo de IA para automatizar el trabajo ofensivo, del reconocimiento a la exfiltración. Microsoft atribuye su uso desde septiembre a Storm-0940, un actor alineado con el Estado chino, al que vincula con el compromiso de la cadena de suministro de ConnectWise.
Las cifras de ese informe piden precisión. Los más de 151.000 inicios de sesión son intentos fallidos de una campaña de password spraying del 10 al 14 de octubre contra 327 cuentas de ocho organizaciones, y Microsoft no observó autenticaciones exitosas en ella. Aun así, el actor intentó entrar en más de 2.250 tenants y, en varios casos, pasó del objetivo inicial a privilegios en la nube en menos de tres horas.
Microsoft menciona también las brechas en entidades financieras surcoreanas como ejemplo de uso de ARTEX por actores de amenazas, pero no las atribuye a ningún grupo concreto.
Cairn, por su parte, es una plataforma de código abierto en la que agentes de IA resuelven problemas por estados. La investigación de NorForge, publicada el 19 de octubre, localizó más de 20 paneles de control de Cairn expuestos en internet y los agrupó en tres clústeres de actividad, el más activo con más de 1.100 proyectos de ataque.
Según The Next Web, que cita a Reuters, los agentes intentaron entrar en más de 1.200 sitios y más de 100 empresas habrían sido comprometidas. Ninguna de las dos cifras figura en el informe de NorForge, que solo verificó un caso.
El informe sí aporta tiempos y costes aproximados. En el clúster más activo, los proyectos que lograron su objetivo tardaron algo menos de 23 horas de media. NorForge estima unos 5 dólares por tarea, con una tasa de éxito cercana al 10 % en las herramientas observadas, pero admite que no tiene datos reales de uso de tokens y que las cifras pueden desviarse de forma clara.
La cifra procede de la firma Straiker, que analizó el sistema CARLIY0S de un grupo llamado CyberCartel y publicó su informe el 21 de octubre. Habla de más de 400 objetivos financieros en América Latina en cuestión de meses, con las víctimas anonimizadas, y no confirma que todas fueran vulneradas.
El sistema es una arquitectura multiagente. Según Straiker, cuatro roles basados en Claude, de Anthropic, evalúan y debaten las opciones de ataque y un árbitro toma la decisión crítica, mientras cinco «mineros» basados en Grok, de xAI, reúnen secretos en una base de datos llamada FinancialSoft. También aparecen configuraciones de Kimi, de Moonshot AI. Anthropic revocó la credencial usada y xAI investiga la actividad.
La copia de esa base que revisó Straiker tenía 4.493 registros, con unos 2.900 correos, 903 números de cuenta y 67 contraseñas en texto plano, además de claves API. El informe dice que esos accesos podrían facilitar el abuso del sistema de pagos SPEI de México, pero no documenta un uso exitoso confirmado, y buena parte de la evidencia son configuraciones y diseños, no ejecuciones contra víctimas.
La versión 1.107.0 de LiteLLM, una biblioteca muy usada para conectar aplicaciones con modelos de IA, apareció con código malicioso en PyPI y en imágenes de Docker el 21 de octubre. Según Chainguard, que la marcó como maliciosa 16 minutos después de su publicación, PyPI la puso en cuarentena.
The Hacker News detalla que el código robaba credenciales de nube, claves y variables de entorno. LiteLLM explicó que las acciones se hicieron desde las cuentas de GitHub de tres ingenieros, probablemente con tokens robados. Quien instalara esa versión debe rotar sus credenciales y fijar la 1.106.2.
Zeabur, una plataforma de alojamiento para desarrolladores, reconoció que credenciales internas filtradas, guardadas en texto plano, expusieron 321.810 cuentas y más de 3,2 millones de registros de variables de entorno. Era su segunda brecha en dos meses y la empresa cerrará: los servicios se apagan desde el 1 de diciembre y el cierre total llegará el 31 de diciembre, según BleepingComputer.
¿Bloquean los grandes bancos de EE. UU. a los agentes de IA?
Según Axios, que se apoya en fuentes anónimas, Morgan Stanley ha empezado a bloquear el acceso de agentes de terceros a sus plataformas, mientras JPMorgan, Bank of America y Citi los están restringiendo. El texto no detalla el alcance de esas restricciones ni describe una medida concreta de Wells Fargo.
Lo que sí describe es una tendencia: la mayoría de los bancos ha autorizado o se encamina hacia el acceso de solo lectura, que permite a un agente consultar datos sin mover dinero, como ya ocurre con apps como Quicken. La dificultad de fondo es distinguir si un agente actúa por orden del cliente o sin permiso. JPMorgan, por su parte, pide a sus clientes que no den su usuario y contraseña a nadie.
En España ya hay un precedente: la AEPD registró en septiembre la primera notificación de una brecha de datos causada por un agente de IA que actuó de forma autónoma. Y hace más de un año se documentó LameHug, un malware que usa IA generativa para producir sus propias instrucciones.
Qué pueden hacer las empresas
Lo inmediato es aplicar los parches de PHP, revisar qué servidores están expuestos y rotar credenciales si se instaló LiteLLM 1.107.0. A medio plazo, conviene no entregar credenciales a agentes de terceros y limitar a los bots a permisos de solo lectura siempre que sea posible.
La conclusión de fondo no es que exista un enjambre de IA atacando en bloque, sino que el margen entre la divulgación de un fallo y su explotación se acorta. Rapid7 registró una media de tres días entre ambos momentos en el tercer trimestre, según SecurityToday.
