El mercado negro de las claves de inteligencia artificial

Síntesis

El robo de credenciales de servicios que cobran por uso no es nuevo, pero ahora tiene un objetivo distinto: los modelos de inteligencia artificial. En octubre, una ola de ataques contra plataformas para desarrolladores expuso miles de claves de IA, y Google ya describe un mercado clandestino organizado para revender ese acceso.

• La firma Wiz contó al menos nueve plataformas de desarrollo de IA atacadas en octubre de 2026.
• En Railway, las claves robadas generaron unos US$740 mil en uso no autorizado de IA.
• Google documentó casos con cobros de más de US$100 mil diarios y de hasta un millón de dólares.
• Los atacantes usan las claves para revender acceso a IA o para entrenar modelos más baratos.

---

Un viejo truco

Durante años, el botín favorito de los cibercriminales fueron las criptomonedas. Según un reportaje del reconocido diario norteamericano The Wall Street Journal, la demanda por modelos de inteligencia artificial ha convertido a las credenciales de acceso a esos servicios en una moneda de cambio del mercado negro.

La técnica no es nueva. Durante años, los atacantes robaron credenciales de servicios en la nube que cobran por consumo para minar criptomonedas o enviar correos masivos a costa de la víctima. Desde el Google Threat Intelligence Group describen el LLMjacking (secuestro de modelos de lenguaje) como una forma de ese mismo secuestro de recursos, adaptada a la era de la IA, y la firma Sysdig lo ha estado documentando desde mayo de 2024.

A diferencia del cryptojacking, que consume recursos de forma gradual, el LLMjacking puede disparar los cobros en la nube en cuestión de horas, según indica Mandiant, la unidad de respuesta a incidentes de Google.

“Lo que más cambió es la velocidad del daño”, comenta Fernando Lagos, CEO de NIVEL4 Cybersecurity. El especialista señala que “el LLMjacking no inventa nada nuevo. Es el mismo robo de credenciales de siempre, pero con un botín mucho más caro. Lo que antes se usaba para minar criptomonedas o enviar spam, hoy se usa para consumir inteligencia artificial a costa de otro”.

Cómo funciona el robo

Muchas empresas guardan sus claves de API en plataformas de alojamiento. Una clave de API es el código que permite a una aplicación conectarse a un modelo de IA, y se cobra según el uso, así que quien la tiene puede consumir a nombre del dueño. Los atacantes las obtienen mediante phishing, filtraciones de código fuente, entornos mal configurados o código expuesto en aplicaciones.

El Grupo de Inteligencia de Amenazas de Google (GTIG) documentó incidentes en 2026 en los que algunas organizaciones perdieron más de 100 mil dólares al día, y otras acumularon cuentas de hasta un millón de dólares. Una vez revendido el acceso, las solicitudes pueden superar el millar por segundo, y el proveedor las registra como consumo legítimo y se las cobra a la víctima.

Un mercado con división del trabajo

Google detectó que el negocio se especializó. Unos grupos se dedican a entrar en las empresas y otros, los “LLM mixers”, operan pasarelas que juntan claves robadas y revenden acceso a la IA a precios muy por debajo del mercado. Uno de esos operadores hizo más de 500 mil llamadas a modelos en menos de ocho horas para alimentar su servicio de reventa.

Google identificó además al grupo UNC6993 (que aún no está completamente identificado en us bases), que usa estas pasarelas para reunir claves robadas y repartir las solicitudes. Su análisis cubre incidentes en todo el continente americano y en la región del Asia-Pacífico, con distintos proveedores de nube y de modelos.

En su informe de septiembre, el GTIG describió una demanda creciente por cuentas de IA robadas en los mercados clandestinos, cuyos precios se duplicaron con creces durante 2026. Según investigadores de Google citados por el Financial Times (FT), en la dark web se vende acceso a modelos de Anthropic, Google y OpenAI con descuentos de hasta 97% frente al precio oficial. La empresa de identidad Okta, por su parte, analizó datos robados por malware y publicados en Telegram, y halló miles de tokens de sesión válidos de proveedores de IA y decenas de claves de API guardadas en texto plano.

¿Por qué la IA es tan atractiva?

El cómputo es hoy el insumo más escaso de la industria. Según la firma de análisis SemiAnalysis, el arriendo por un año de un chip H100 de Nvidia, uno de los más usados para hacer funcionar modelos de IA, pasó de US$1,70 por hora en octubre de 2025 a cerca de US$2,80 un año después. Es un alza de más de 60%.

John Hultquist, analista jefe de inteligencia de amenazas de Google, advirtió en el reportaje al FT que alrededor del acceso a la IA está creciendo una economía clandestina. Además, como las empresas aún no saben cuánto cómputo consumirán sus sistemas, un salto repentino en el uso puede pasar por normal, y eso les da a los atacantes un lugar donde esconderse.

Port su parte, Fernando Lagos comenta que “una clave de API de IA es, literalmente, dinero” y agrega que “quien la roba no necesita vender datos ni pedir un rescate. Puede usarla o revenderla de inmediato, y la factura le llega a la empresa víctima”.

Octubre negro

El 30 de octubre, la firma de seguridad en la nube Wiz publicó el informe “Black October for AI Developer Platforms” (Octubre negro para las plataformas de desarrollo de IA). Según el informe, al menos nueve plataformas informaron incidentes en un solo mes: Fireworks AI (6 de octubre), Andromeda (9 de octubre), Zeabur (14 de octubre), Lightning AI (15 de octubre), OpenCode (16 y 17 de octubre), Railway (20 de octubre), Warp (23 de octubre), CommandCode (28 de octubre) y Northflank (30 de octubre).

Wiz identificó un hilo común: los atacantes buscaban las variables de entorno donde los clientes guardan sus secretos, en especial las claves que dan acceso a modelos de IA de pago. Fireworks, OpenCode y Warp reportaron señales de un ataque de “enjambre de agentes”, es decir, agentes de IA automatizados que hacen gran parte del trabajo. Fireworks, Zeabur y Lightning AI atribuyeron sus incidentes al robo de credenciales.

Aun así, el informe no establece que un mismo actor haya atacado las nueve plataformas. Lo que sí documentó Wiz fue el uso de dos claves empresariales de Amazon Bedrock robadas en estas brechas. Ambas se probaron en menos de 30 minutos. Una hizo unas 800 mil llamadas en 30 horas y la otra, 1,7 millones en 13 horas, con un costo conjunto probablemente superior a 100 mil dólares

Railway, el caso emblemático

Railway es una plataforma en la nube donde los desarrolladores despliegan aplicaciones, API y bases de datos. Tiene unos 4,8 millones de usuarios y aloja más de 16 millones de servicios. Su configuración, incluidas las claves de API, se guarda en variables de entorno.

En un aviso de seguridad la plataforma describió el ataque el cual comenzó el 20 de octubre. Los atacantes explotaron una vulnerabilidad desconocida en la infraestructura de compilación de Railway y obtuvieron una credencial interna. Luego copiaron su código fuente, que analizaron para buscar otras fallas. Posteriormente, aprovecharon una relación de confianza mal configurada para conseguir las credenciales que descifraban los secretos de los clientes.

Siguió una pelea de unas 26 horas entre los ingenieros de Railway y atacantes que usaban agentes de IA para probar varias rutas al mismo tiempo. “Esto no fue una sola brecha seguida de una sola corrección”, explicó la empresa. Railway dijo haberse enfrentado a modelos “abliterados”, es decir, modelos a los que les quitaron las restricciones de seguridad.

Railway calcula que los atacantes pudieron ver las claves y contraseñas guardadas en hasta 100 mil espacios de trabajo (las cuentas donde cada cliente o equipo aloja sus proyectos), el 1,85% del total. La empresa aclara que esa cifra es el máximo posible, y señala que no todos esos clientes perdieron necesariamente sus claves. Además, quedaron expuestos los accesos que 1.852 usuarios habían conectado a otros servicios, como sus cuentas de GitHub y sus agentes de IA. Los atacantes fueron expulsados de los sistemas el 21 de octubre.

Los atacantes buscaban sobre todo credenciales de proveedores de IA, aunque también de servicios en la nube, bases de datos y pagos. Con las claves robadas generaron unos 740 mil dólares en uso no autorizado de IA, una cifra que Railway se comprometió a cubrir si los proveedores no la reembolsan.

Según el Wall Street Journal, todo empezó un domingo por la noche, a mediados de octubre, cuando los atacantes crearon miles de cuentas en la plataforma. En pocos días se llevaron activos por más de un millón de dólares, y la mayor parte fue poder de cómputo.

Revender o destilar

Railway cree que los atacantes querían las claves para revenderlas o para hacer lo que llamaron como “destilación”. Esa técnica consiste en consultar un modelo potente de forma masiva y usar sus respuestas para entrenar otro más pequeño y barato. Con una clave robada, las consultas las paga el dueño legítimo.

El medio especializado TechCrunch señala que las claves filtradas pueden servir a usuarios de países con acceso restringido a los modelos estadounidenses para generar el gran volumen de respuestas que exige la destilación. Algunos críticos, sin embargo, consideran que hablar de destilación es exagerado mientras ese uso no se compruebe.

Las otras víctimas

• OpenCode. Esta herramienta de programación con IA de código abierto informó el 17 de octubre una brecha en su consola web, donde algunos equipos guardan claves de OpenAI, Anthropic y Google. La empresa la atribuyó a “un ataque de destilación a gran escala”, que afectó al 1,4% de los usuarios de la consola. Algunos reportaron cobros no autorizados de cientos a miles de dólares, y Anthropic y Google bloquearon las claves expuestas, mientras OpenAI reembolsó a sus clientes.
• Zeabur. Esta plataforma taiwanesa de despliegue en la nube informó que, entre el 14 y el 15 de octubre, un atacante usó credenciales internas filtradas, guardadas en texto plano, y llegó a leer la base de datos de la plataforma. Según la empresa, el atacante “buscaba principalmente claves de API que pudiera usar directamente”. Había sufrido otra brecha en agosto, y anunció que cerrará sus servicios a partir del 1 de diciembre.
• Fireworks AI. Esta plataforma de inferencia y entrenamiento de modelos detectó el 6 de octubre que un tercero usaba credenciales internas para leer variables de entorno de algunos clientes. El 9 de noviembre amplió su informe, señalando que los atacantes también accedieron a datos de cuentas y facturación y, en un grupo limitado de clientes, a secretos, conjuntos de datos y modelos sin terminar.
• Warp. Este entorno de desarrollo con agentes de IA informó que, tras un ataque a un proveedor externo, se expusieron registros de decisiones de sus agentes y datos de telemetría. Según su director ejecutivo, Zach Lloyd, se habría visto afectado cerca del 1% de los usuarios.
• Northflank. Esta plataforma de alojamiento en la nube recibió una alerta de la firma Wiz el 30 de octubre, y horas después confirmó el “uso no autorizado de claves de API de IA entregadas a la plataforma”. La plataforma pidió a sus clientes rotar todas las credenciales, aunque no ha explicado cómo entraron los atacantes ni cuántos clientes resultaron afectados.
• Lightning AI. Esta plataforma de desarrollo de IA atribuyó su incidente de octubre al robo de credenciales. En abril ya había sufrido un ataque a la cadena de suministro, cuando dos versiones de su paquete en PyPI (el repositorio de paquetes de Python) traían un programa que robaba credenciales.

Un intermediario en la mira

Estas plataformas se ubican entre los desarrolladores, sus aplicaciones y los proveedores de modelos. Muchas guardan las claves de sus clientes para que los equipos usen la IA sin ver la credencial, de modo que vulnerar una sola plataforma puede dar acceso a miles de claves a la vez.

Por eso las respuestas se coordinaron con los proveedores de IA. Railway contactó a OpenAI, Anthropic, GitHub, GitLab, OpenRouter y Stripe, entre otros, para revocar las credenciales posiblemente afectadas, y en el caso de OpenCode, Anthropic revocó las claves de Claude expuestas.

Qué recomiendan las empresas afectadas

Tras los incideentes, Railway, Northflank y OpenCode coinciden en sus recomendaciones: rotar o revocar todas las claves guardadas en la plataforma desde el sitio de cada proveedor, generar claves nuevas y revisar los registros de uso y facturación en busca de actividad inusual. También piden reportar los cobros sospechosos al proveedor de IA y a la plataforma.

Para Fernando Lagos, “las claves de IA deben tratarse con el mismo cuidado que una contraseña bancaria. Hay que saber dónde están guardadas, quién tiene acceso a ellas y fijar límites de gasto, porque muchas veces un salto anormal en la factura es la primera señal de un ataque”.

Esta última consideración la comparten también varios de los análisis del caso, los que coinciden en fijar límites de gasto en las cuentas de IA. Eso no evita el robo, advierten, pero limita la factura que puede dejar.