Algunas funciones confiables de las plataformas de inteligencia artificial se han convertido en una nueva superficie de ataque, según la observación del Centro de Operaciones de Seguridad de Huntress durante los últimos nueve meses. En lugar de atacar directamente los modelos de inteligencia artificial o a las empresas que los desarrollan, los atacantes aprovecharon contenido compartible, pequeñas aplicaciones publicadas para el público y resultados de búsqueda patrocinados para llegar a los usuarios de estas plataformas.
Las vías detectadas por Huntress incluyen contenido de Claude Artifacts, enlaces para compartir conversaciones de Claude, además de conversaciones de ChatGPT y Grok indexables. Estas campañas aprovechan que el contenido aparece dentro de un dominio conocido y con un diseño familiar para el usuario, de modo que las instrucciones de descarga o los comandos de código parecen legítimos. Incluso cuando el proveedor del servicio elimina el contenido en cuestión de horas o días, ese breve periodo puede ser suficiente para llegar a las víctimas.
La campaña FakeAgent aprovecha Claude Artifacts
En julio, Huntress detectó una campaña a la que llamó FakeAgent y que afectó a más de 29 organizaciones. La campaña comenzó con la creación de un Claude Artifact malicioso alojado en el dominio claude.ai, un dominio real perteneciente a la plataforma Claude. Según el material, los atacantes diseñaron una página de descarga falsa para la aplicación Claude Desktop, aprovechando que los Artifacts públicos están destinados a demostraciones ligeras y no se someten a una revisión amplia, salvo por una advertencia general.
Los usuarios que buscaban la aplicación Claude Desktop en Bing llegaban a la página falsa; posteriormente, el enlace de descarga conducía a un dominio externo que distribuía el malware SectopRAT. Después de que Huntress informara sobre el Artifact, Anthropic lo eliminó el 22 de julio, pero la actividad vinculada al mismo dominio de redirección continuó durante agosto.
Una guía de instalación falsa dentro de un enlace compartido
En otro incidente, un anuncio pagado que aparecía al buscar «Claude para Mac» en Google conducía a un enlace claude.ai/share que se hacía pasar por una guía de instalación emitida por el soporte de Apple. La presencia de la página dentro del dominio de Anthropic eliminaba indicadores de advertencia habituales, como una dirección del sitio diferente o la aparición de una advertencia relacionada con el certificado.
La guía pedía a la víctima pegar un comando curl en Terminal, lo que iniciaba una cadena de seis etapas que terminaba con la instalación del malware MacSync para robar datos. Entre los datos objetivo se encontraban cookies, credenciales, secretos de Keychain, sesiones de Telegram y claves SSH y claves de servicios en la nube.
¿Qué cambia en la práctica?
Los casos demuestran que la aparición del contenido dentro de una plataforma conocida ya no es prueba suficiente de su seguridad. El enlace puede ser correcto en cuanto al dominio, mientras que las instrucciones, el destino de la descarga o el comando que se solicita ejecutar pueden ser maliciosos. Huntress también detectó otro patrón basado en contaminar los resultados de búsqueda y las conversaciones indexadas en ChatGPT y Grok, de modo que aparecen instrucciones de estilo ClickFix en lugar de soluciones legítimas para solicitudes de solución de problemas, incluida la búsqueda de una forma de liberar espacio en macOS.
La conclusión más importante para los usuarios y los equipos de soporte es la necesidad de examinar las propias instrucciones y el origen de los archivos y comandos, en lugar de limitarse a confiar en el nombre o el dominio de la plataforma. Los detalles del último patrón siguen siendo limitados en el material disponible, por lo que no es posible determinar su alcance total ni el número de víctimas basándose únicamente en la fuente.