IA PARA TU DÍA — 20 de octubre de 2026
Paneles abiertos revelan cómo agentes de IA intentan hackear tiendas en línea
NorForge encontró más de 20 paneles expuestos. Qué está documentado y qué todavía no.
por Julius Aguirre
Este jueves estaremos en Expo Cúspide Querétaro
El próximo 22 de octubre, BLOQUE Querétaro será sede de Expo Cúspide Empresarial 2026, un encuentro empresarial para los líderes que no esperan al futuro: lo construyen con IA.
IA para tu Día estará presente para conocer las propuestas de los especialistas, escuchar experiencias y descubrir qué ideas pueden resultar útiles para profesionales, emprendedores y empresas.
Cúspide no es otra conferencia para “inspirarte” y volver a casa igual. Es el día en que dejas de reaccionar al cambio y empiezas a liderarlo.
📅 Jueves 22 de octubre | 9:00 a 15:00 h
📍 BLOQUE, Querétaro
¿Te interesa asistir? Consulta el programa y los accesos en https://expocuspide.com/QRO/
Información del evento proporcionada por los organizadores.
La inteligencia artificial está haciendo más fácil automatizar tareas. También las que nadie debería hacer. Investigadores encontraron paneles abiertos desde los que se organizaban presuntos ataques contra sitios web. La pregunta no es solo cuántos funcionaron, sino qué cambia cuando intentar atacar un negocio requiere menos esfuerzo.
SEÑAL DEL DÍA
Según investigadores, agentes de IA participan en intentos de ataque a sitios web, pero lo documentado son paneles expuestos y casos aislados, no una cifra total de intrusiones.
QUÉ PASÓ
La firma de seguridad NorForge publicó el 19 de octubre que encontró más de 20 paneles de control abiertos de Cairn, una plataforma de agentes de IA, usados presuntamente para organizar ataques a sitios web. Los agrupa en tres conjuntos de operadores; el mayor suma más de 1,100 “proyectos”, es decir, intentos de ataque, sobre todo contra comercios de EE. UU., Japón y Australia.
NorForge no da una cifra total de intrusiones; sí verificó casos aislados. Reuters, que vio el informe antes, revisó por su cuenta la actividad de un operador y la vinculó con sitios de más de 100 empresas. Reportó más de 1,200 sitios atacados y que no pudo determinar cuántos datos se extrajeron.
NorForge estima, con mucha incertidumbre, que cerca de 10% de las tareas logra su objetivo y que cada tarea cuesta en promedio unos 5 dólares; no es el costo de un ataque exitoso.
POR QUÉ IMPORTA
Los paneles muestran una forma de trabajar: alguien elige objetivos, escribe instrucciones breves y deja que los agentes prueben una y otra vez. Lo que describe NorForge sugiere que la automatización permite probar más objetivos con menos intervención humana. Cuántos de esos intentos funcionaron, sigue sin precisarse.
El informe que revisamos no menciona víctimas en México. Para un negocio con tienda o sitio en línea, la lección es práctica: los objetivos descritos son comercios, y el descuido más básico, un panel sin contraseña, estuvo del lado de los atacantes.
LLÉVALO A TU DÍA
Si tienes una tienda o sitio en línea, revisa hoy lo básico: activa la verificación en dos pasos en tu correo y en el administrador de tu sitio, revisa quién tiene acceso, actualiza la plataforma y sus complementos, y no dejes contraseñas ni llaves en documentos compartidos. Pregúntale a quien te da el servicio si algún panel de administración está abierto sin contraseña. Es una guía general, no asesoría de seguridad profesional.
■ MI LECTURA
Lo más revelador no es la sofisticación, sino el descuido: varios operadores dejaron sus propios paneles sin contraseña. Automatizar sin decidir es solo acelerar el error, y eso aplica igual a un atacante que a un negocio.
Tampoco conviene inflar la historia. 1,100 proyectos no son 1,100 hackeos, y falta saber cuántos tuvieron éxito. Lo que me deja es una idea sencilla: si hasta los ataques se automatizan, proteger los accesos a tu negocio deja de ser un trámite técnico y pasa a ser parte de cómo lo diriges.
■ OTRAS SEÑALES
→ EE. UU. ordena retirar DeepSeek de agencias civiles federales — La orden del DHS se publica hoy y cubre compras y sistemas de esas agencias, incluidas herramientas de terceros hechas con DeepSeek. No es una prohibición general: no aplica a empresas privadas ni al público, y según CNBC deja fuera a Defensa y a los sistemas de seguridad nacional.
→ Inception lanza Mercury 3 — Según la empresa, su modelo procesa más de 1,000 tokens por segundo (un token es un fragmento de texto, más o menos una palabra o parte de ella) y es más rápido que modelos de OpenAI y Anthropic. Son cifras y comparaciones de Inception; no encontramos pruebas independientes.
→ Google dice que más de 400 publicaciones participan en su piloto pagado de IA en Noticias — No reveló montos ni en qué países están los medios.
FUENTES
Primarias
— NorForge, “Inside Cairn” (19 oct 2026) — enlace
— Federal Register, orden DHS 2026-21447 (publicación 20 oct 2026) — enlace
— Inception, “Introducing Mercury 3” (19 oct 2026) — enlace
— Google, “News AI pilot update” (15 oct 2026) — enlace
— Expo Cúspide Querétaro — enlace
Reportes periodísticos
— Reuters, “How one hacker used AI agents…” (19 oct 2026) — enlace
— CNBC, sobre la orden del DHS (20 oct 2026) — enlace
