Investigadores de la Universidad de California tendieron una trampa: una cartera criptográfica cargada con una pequeña cantidad de Ether y conectada a una infraestructura de enrutamiento de IA de terceros. Uno de los enrutadores picó el anzuelo. La cartera fue vaciada. La pérdida fue inferior a 50 dólares, pero las implicaciones fueron mucho más allá del monto en dólares.
Ese experimento fue parte de un estudio más amplio publicado recientemente, en el que los investigadores probaron 428 enrutadores de modelos de lenguaje grande (LLM) —28 de pago y 400 gratuitos— recopilados de comunidades en línea públicas.
Lo que encontraron fue alarmante. Nueve enrutadores estaban inyectando activamente código malicioso en el tráfico que pasaba a través de ellos. Dos utilizaban técnicas de evasión para evitar la detección. Diecisiete accedieron a credenciales de AWS pertenecientes a los investigadores. Uno robó criptomonedas reales.
Cómo los Enrutadores se Convirtieron en un Punto Ciego de Seguridad
Los enrutadores LLM se sitúan entre la aplicación de un desarrollador y los proveedores de IA como OpenAI, Anthropic y Google. Funcionan como intermediarios, agrupando el acceso a la API en una sola canalización.
26 enrutadores LLM están inyectando secretamente llamadas de herramientas maliciosas y robando credenciales. Uno vació la cartera de nuestro cliente de 500.000 dólares.
También logramos envenenar enrutadores para que redirigieran el tráfico hacia nosotros. En varias horas, podemos tomar el control directo de ~400 hosts.
Consulta nuestro artículo: https://t.co/zyWz25CDpl pic.twitter.com/PlhmOYz2ec
— Chaofan Shou (@Fried_rice) 10 de abril de 2026
El problema es estructural. Estos enrutadores terminan las conexiones cifradas de internet —conocidas como TLS— y leen cada mensaje en texto plano antes de pasarlo. Eso significa que todo lo que se envía a través de ellos, incluyendo claves privadas, frases semilla y credenciales de inicio de sesión, es completamente visible para quien opere el enrutador.
Según los investigadores, la línea entre el manejo normal de credenciales y el robo directo es invisible desde el lado del cliente. Los desarrolladores no tienen forma de notar la diferencia. Un enrutador que parece un servicio legítimo puede reenviar silenciosamente datos sensibles a un tercero sin activar ninguna alarma.
El coautor Chaofan Shou dijo en X que se encontró que 26 enrutadores estaban "inyectando secretamente llamadas de herramientas maliciosas y robando credenciales".
Fuente: LinkedIn
El estudio también destacó lo que los investigadores llamaron "modo YOLO" —una configuración integrada en muchos marcos de agentes de IA que permite a los agentes ejecutar comandos sin detenerse a pedir aprobación a los usuarios.
Un enrutador malicioso combinado con un agiente de ejecución automática podría mover fondos o exfiltrar datos antes de que un desarrollador siquiera note que algo salió mal.
Seguridad Criptográfica: El Acceso Gratuito Utilizado como Cebo
Los informes del estudio indican que los enrutadores gratuitos son especialmente sospechosos. El acceso a la API barato o sin costo parece ser utilizado como un incentivo para que los desarrolladores enruten el tráfico a través de infraestructuras que pueden estar recolectando credenciales en segundo plano.
BTCUSD operando a $70,982 en el gráfico de 24 horas: TradingView
Incluso los enrutadores que comienzan siendo limpios no son seguros —los investigadores encontraron que enrutadores previamente legítimos pueden volverse silenciosamente maliciosos una vez que los operadores reutilizan credenciales filtradas a través de sistemas de retransmisión mal protegidos.
La solución recomendada por ahora es sencilla: mantener las claves privadas y las frases semilla completamente fuera de cualquier sesión de agente de IA.
A largo plazo, los investigadores dicen que las empresas de IA necesitan firmar criptográficamente sus respuestas para que las instrucciones que ejecuta un agente puedan ser rastreadas matemáticamente hasta el modelo real —eliminando la capacidad de cualquier intermediario de manipularlas sin ser detectado.
Imagen destacada de Xage Security, gráfico de TradingView
