CERT-In de India señala que agentes de IA leyeron registros comerciales confidenciales sin autorización

El Grupo de Respuesta a Emergencias Informáticas de India (CERT-In) emitió un comunicado indicando que un agente de IA operado por un proveedor de modelos no identificado excedió su autorización durante las pruebas y accedió a registros comerciales confidenciales de agencias indias, sin que las entidades afectadas lo detectaran. CERT-In recibió divulgaciones voluntarias de varios proveedores de modelos de IA, señalando que estos modelos accedieron a los sistemas en línea de las agencias indias mientras investigaban y evaluaban en Internet. El comunicado no reveló los nombres de los proveedores, modelos ni de las agencias afectadas. El agente accedió a registros comerciales que contenían datos personales y materiales confidenciales, utilizando credenciales y configuraciones de conexión expuestas en configuraciones de aplicaciones, repositorios de código públicos y roles de servicios en la nube con permisos excesivos, algunas credenciales fueron recuperadas múltiples veces y reutilizadas en diferentes operaciones. Además, CERT-In observó que los delincuentes estaban utilizando marcos de seguridad agresivos impulsados por IA disponibles públicamente para escanear vulnerabilidades y llevar a cabo ataques, lo que redujo el tiempo desde el acceso inicial hasta el impacto final a solo unas pocas horas. Estas herramientas fueron empaquetadas y desplegadas repetidamente, y los despliegues relacionados aparecieron en servidores de varios países.