La investigación BOSSAI documenta cómo un actor malicioso orquestó reconocimiento, escaneo y explotación mediante agentes de inteligencia artificial conectados a través de apps de mensajería.
Un operador malicioso logró coordinar actividad de ataque en varios países conectando más de 10 modelos de inteligencia artificial a herramientas de reconocimiento, escaneo y explotación, según documenta el reporte Acronis TRU Cyber Pulse 2026. La investigación, identificada como BOSSAI, revela que el actor utilizó WeChat y LINE para asignar tareas y monitorear la actividad de los agentes automatizados. El caso coincide con la detección de más de 575 habilidades maliciosas de OpenClaw que entregaron malware a sistemas Windows y macOS, marcando un punto de inflexión en la automatización de operaciones ofensivas.
Cómo un operador convirtió apps de mensajería en centros de comando para agentes de IA
El operador documentado en BOSSAI utilizó WeChat y LINE como interfaces de control para gestionar múltiples modelos de inteligencia artificial. Cada modelo estaba conectado a herramientas específicas: algunos ejecutaban reconocimiento de objetivos, otros realizaban escaneo de vulnerabilidades y un tercer grupo llevaba adelante la explotación de sistemas comprometidos. La arquitectura permitía al operador asignar tareas a través de mensajes en las plataformas de comunicación y recibir reportes de actividad en tiempo real.
Esta configuración representa un cambio estructural respecto de los métodos tradicionales de automatización de ataques. En lugar de scripts estáticos o herramientas de explotación con lógica fija, el operador delegaba decisiones tácticas a los modelos de IA, que ajustaban su comportamiento según las respuestas de los sistemas objetivo. La coordinación a través de varios países sugiere que el operador buscaba distribuir la infraestructura de ataque para dificultar la atribución y evadir controles geográficos de detección.
El patrón de OpenClaw y la entrega masiva de malware a través de habilidades comprometidas
Paralelamente a BOSSAI, investigadores de Acronis identificaron más de 575 habilidades maliciosas de OpenClaw que funcionaron como vectores de entrega de malware a sistemas Windows y macOS. OpenClaw es un framework que permite extender capacidades de agentes de IA mediante módulos de terceros. Los atacantes aprovecharon esta arquitectura para distribuir habilidades aparentemente legítimas que, una vez instaladas, descargaban y ejecutaban código malicioso en los sistemas de las víctimas.
El volumen de habilidades comprometidas indica que los atacantes no apuntaron a objetivos individuales, sino que buscaron escala mediante la distribución masiva de módulos infectados. La estrategia es similar a la de los repositorios de paquetes comprometidos en ecosistemas de desarrollo de software, pero aplicada al contexto de agentes de IA. La capacidad de entregar malware tanto a Windows como a macOS amplía la superficie de ataque y reduce la dependencia de vulnerabilidades específicas de plataforma.
Credenciales robadas como puerta de entrada a servicios vinculados
Los atacantes documentados en el reporte utilizaron credenciales robadas para acceder a servicios vinculados a las cuentas comprometidas. Este método permite moverse lateralmente entre plataformas sin necesidad de explotar vulnerabilidades técnicas adicionales. Una vez dentro de un servicio, los atacantes pueden acceder a otros sistemas conectados mediante autenticación única o integraciones de API, expandiendo el alcance del compromiso sin generar alertas de acceso anómalo.
El uso de credenciales robadas también facilita la persistencia. Los atacantes no dependen de backdoors o implantes que puedan ser detectados por herramientas de seguridad endpoint. En cambio, operan con credenciales válidas que les permiten acceder a los sistemas como usuarios legítimos. Esta técnica es particularmente efectiva en entornos donde la autenticación multifactor no está implementada o donde los tokens de sesión tienen períodos de validez prolongados.
Herramientas diseñadas para interferir con detección y recuperación de sistemas
El reporte de Acronis señala que los atacantes utilizaron herramientas específicamente diseñadas para interferir con sistemas de detección de intrusiones y procesos de recuperación. Estas herramientas no solo buscan evadir la detección durante la fase de compromiso inicial, sino que también dificultan la respuesta a incidentes una vez que el ataque es descubierto. Algunos ejemplos incluyen la manipulación de logs de auditoría, la desactivación de servicios de monitoreo y la corrupción de backups para impedir la restauración de sistemas afectados.
La interferencia con capacidades de recuperación representa un cambio en los objetivos tácticos de los atacantes. Más allá de robar datos o instalar ransomware, buscan maximizar el tiempo de inactividad de las víctimas y aumentar el costo de la remediación. En América Latina, donde muchas organizaciones dependen de proveedores de servicios gestionados con capacidades limitadas de respuesta a incidentes, esta táctica puede extender significativamente el impacto de un compromiso. Empresas en sectores como finanzas y salud en México, Brasil y Argentina, que operan con infraestructura crítica pero presupuestos de seguridad ajustados, enfrentan mayor riesgo de interrupción prolongada si sus sistemas de backup y detección son neutralizados en las primeras etapas de un ataque.
Nuestro análisis
La combinación de agentes de IA coordinados, habilidades maliciosas distribuidas masivamente y herramientas de interferencia con detección marca una convergencia de tres tendencias que hasta ahora habían evolucionado en paralelo. BOSSAI no es un caso aislado de experimentación técnica — es evidencia de que actores maliciosos ya están operacionalizando arquitecturas de ataque donde la inteligencia artificial no es solo una herramienta auxiliar, sino el componente central de coordinación. El uso de WeChat y LINE como interfaces de control sugiere que los operadores buscan plataformas de comunicación con cifrado de extremo a extremo y alta adopción en regiones específicas, lo que dificulta la interceptación de comandos y la identificación de infraestructura de mando y control.
Lo que todavía no está claro es si los más de 10 modelos de IA utilizados por el operador documentado en BOSSAI fueron entrenados específicamente para tareas ofensivas o si se trata de modelos comerciales adaptados mediante prompts y configuraciones personalizadas. La diferencia es relevante: si los atacantes pueden lograr este nivel de coordinación con modelos de acceso público, la barrera de entrada para replicar la técnica es considerablemente más baja. La pregunta que queda abierta es cuánto tiempo pasará antes de que veamos esta arquitectura de ataque adoptada por grupos con mayor capacidad de escala y objetivos de mayor impacto.