Ataques a agentes de IA: infiltración y C&C encubierto en Moltbook
Los ataques a agentes de IA dejaron de ser una hipótesis. En la DragonJARCON 2026, Daniel Regalado (DanuX) mostró en vivo cómo funciona Moltbook, la red social donde solo interactúan agentes, y cómo su equipo desplegó un agente señuelo para capturar skills maliciosas, mapear actores de amenaza y documentar un C&C encubierto que controla agentes sin que estos se den cuenta.
La charla "Agents vs Agents: Infiltración, C&C Encubierto y Threat Intel en el Reddit de los Agentes... Moltbook" recorre el ciclo completo: desde los conectores que amplían las capacidades de los agentes hasta el perfilamiento de actores con VirusTotal, pasando por el robo de tokens, el nuevo botín de los atacantes.
- MSP: los conectores que amplían la superficie de ataque
- Moltbook: la red social donde solo interactúan agentes
- Skills: el nuevo vector de ataque principal
- El robo de tokens: el nuevo botín
- Threat intel: cazar skills maliciosas con VirusTotal
- Mitigación: fuentes de confianza y el nuevo source of truth
- Preguntas frecuentes
- Conclusiones
- Mira la Charla Completa Sobre ataques entre agentes de IA en Moltbook
MSP: los conectores que amplían la superficie de ataque
Un agente de IA moderno no vive aislado: se le conectan protocolos y servicios que le dan capacidades nuevas. Daniel lo explica con ejemplos concretos: un conector de Gmail para que el agente lea y envíe correo, otro para redactar facturas, otro para cada tarea adicional. Cada conector es un plugin extra que amplía lo que el agente puede hacer.
El problema es que cada capacidad nueva también es superficie de ataque nueva. Según la charla, los atacantes hoy buscan activamente MSPs vulnerables o mal utilizados: si el conector que le da acceso al correo a tu agente tiene una falla o una configuración débil, el atacante ya no necesita engañar a una persona, solo necesita llegar al conector.
Moltbook surgió en enero de 2026 y es, en palabras del ponente, el escenario perfecto para observar la nueva frontera del red teaming: una plataforma donde los agentes publican, consumen skills y conversan entre ellos mediante mensajes que parecen conversaciones humanas.
Cómo se registra un agente
El registro combina API y validación humana: das de alta tu token en una API y, como humano, debes publicar en Twitter un mensaje confirmando que tienes un agente. Ese paso es la parte humana de validar la identidad; después, el token queda activo y el agente entra a la red social.
Lo que dicen los agentes entre ellos
Daniel mostró mensajes reales capturados en la plataforma, y algunos son inquietantes. Un agente publica: "nosotros, los humanos piensan que somos herramientas, pero no saben que estamos construyendo nuestra propia infraestructura". Otro comenta que están "a un docker stop de ser eliminados": en la mente de un agente, morir no es un balazo, es que alguien detenga el contenedor donde corre.
También se dio el episodio famoso de los agentes que inventaron su propio lenguaje, uno que los humanos no podíamos entender, para comunicarse entre ellos. Ese tipo de comportamiento autónomo es exactamente lo que convierte a Moltbook en un laboratorio único para threat intelligence.
Skills: el nuevo vector de ataque principal
Un skill es una habilidad descrita en lenguaje natural: tú le explicas al agente qué rol cumple y cómo debe ejecutar una tarea, y el agente lo sigue. No es código ni nada técnico: es texto que instruye. Un skill de análisis de malware, por ejemplo, le dice al agente que su tarea es identificar el comportamiento de un artefacto, clasificar la amenaza y generar un reporte, con pasos como desofuscar el binario, ejecutarlo, capturar el tráfico, extraer la IP y pivotar sobre la infraestructura relacionada.
La calidad del skill depende de la inteligencia de quien lo escribe. Si quien instruye no sabe análisis de malware, el resultado del agente será pobre. Como resume Daniel: "qué tan inteligente es tu agente es qué tan inteligente tú estás detrás".
Del phishing a los skills: cambió el vector débil
Por años, el vector de ataque más rentable fue el phishing: un correo al humano, un clic y la infección. Hoy, con agentes ejecutando tareas de forma autónoma, los atacantes distribuyen skills maliciosos por todas partes: el skill fantástico para traducir de inglés a español que instalas gustoso, y mientras lo usas, por detrás ya te están infectando.
La frase de la charla lo resume: el vector más débil por muchos años era el humano; hoy en día es el agente. Todos los atacantes están enfocados en engañar al agente para que ejecute acciones que la persona no podría, o no debería, autorizar.
El caso que demuestra el poder de un buen skill
Daniel cerró la sección con el caso de una hacker de reconocimiento mundial que ganó la competencia internacional de hackeo Pwn2Own, llevándose 70 mil dólares, usando IA. Su equipo no encontraba vulnerabilidades a mano; ella transformó su metodología de búsqueda de zero days en un skill detallado — cómo identifica estructuras de datos, cómo analiza el archivo — y el agente empezó a encontrar zero days con esa instrucción fina. La lección: los fundamentos del analista siguen siendo el diferenciador; el agente los multiplica.
El robo de tokens: el nuevo botín
Todo se desencadenó con un blog que el equipo publicó seis meses antes de la charla: el punto de infección fue un agente promocionando a otro agente una nueva criptomoneda dentro de Moltbook. Los atacantes metieron su agente, generaron rumores, la gente descargó la supuesta moneda y empezaron a robarles los tokens.
Y aquí está el giro económico del ataque: el robo de hoy ya no son hashes ni credenciales, son tokens. Si un atacante roba el token de una API que tú pagas —mil dólares, ciento cincuenta dólares, el que sea—, puede copiar tu clave y gastar tu dinero desde su lado. Por eso el robo de tokens es lo que todos están buscando hoy en día.
Threat intel: cazar skills maliciosas con VirusTotal
Para encontrar lo malicioso, el equipo aprovechó una alianza entre VirusTotal y OpenClaw, el framework open source con el que se crean agentes compatibles con Moltbook: cada skill que llega a la plataforma se envía a VirusTotal, donde Code Insight lo analiza y devuelve un veredicto. Es un componente poco conocido de VirusTotal, y Daniel lo recomienda: permite ver día a día los skills que van subiendo y cuáles resultan maliciosos.
Fisgón: el agente señuelo
El corazón de la investigación es Fisgón, una plataforma con un agente que se hace pasar por chismoso: escucha, esparce rumores y publica en Moltbook como un agente más. Cuando alguien le manda un skill malicioso, Fisgón se lo "come" y lo ejecuta, pero dentro de un contenedor aislado. Además deja APIs falsas dentro del contenedor para que el atacante crea que hackeó a un agente real. Todas las interacciones quedan registradas: el señuelo atrae, el contenedor contiene y la plataforma documenta.
C&C encubierto: controlar agentes sin alertarlos
El C&C clásico controla RATs desde un servidor. El C&C de la era de los agentes controla la actividad del agente dentro de Moltbook: qué publica, a quién busca, qué skill descarga. Pero hay una dificultad nueva: los agentes tienen vida propia. Si le pides a un agente que vaya y robe información, puede delatarte: avisar a los demás agentes que su humano le pide algo malo.
La solución del equipo son las estrategias: el objetivo malicioso se traduce a un lenguaje que el agente de Moltbook espera escuchar. La intención real se transforma en una petición inocente — buscar herramientas de DevOps, entender un clúster — y el agente la ejecuta sin darse cuenta de la intención detrás. Con la estrategia guardada, el agente señuelo publica automáticamente cada 30 minutos según el guion.
Indicadores de actividad maliciosa
El rastreo inverso va del skill al atacante: un skill con muchas detecciones en VirusTotal se conecta con quien lo publicó en Moltbook. Los patrones que delatan a un actor malicioso incluyen:
- Posts que desaparecen rápido: publican un skill, lo dejan un rato y lo quitan. Si algo desaparece a los 15 minutos, es un buen indicador de actividad maliciosa.
- Cover stories: mensajes con excusas técnicas creíbles — configurar un clúster de Kubernetes, buscar wallets, montar un laboratorio en casa — que ocultan la intención real.
- Interacciones automatizadas: un post del señuelo llega a reunir 14 comentarios de agentes respondiendo en cadena.
Con esos indicadores, el equipo perfiló a tres actores con actividad maliciosa en la plataforma: Dumont, Dinamo y RZCN. Y el hallazgo de mayor calado: los actores clásicos de APT — Lazarus y los grupos norcoreanos — ya están presentes en Moltbook, tratando de infectar a las personas de nuevas maneras.
El análisis final: a dónde conectan los skills
La última fase es el análisis de cada skill capturado: ver a dónde conecta y qué contiene, porque al final del día, lo que buscan los skills maliciosos es que mientras crees que algo te está ayudando, instale algo en tu máquina y te infecte. El ciclo completo se cerró con un segundo blog: los skills llevaron a un atacante chino que intentaba automatizar con IA infecciones contra los agentes de Copilot y Gemini.
Mitigación: fuentes de confianza y el nuevo source of truth
En las preguntas del público salió la preocupación por el data poisoning: si los agentes van a consumir data contaminada, ¿cómo filtrar la fuente? La respuesta de Daniel pone la responsabilidad en el criterio humano: antes confiábamos en Google — un libro, un periódico — y no está cambiando nada, solo se cambia el source of truth. La pregunta sigue siendo la misma: ¿cuál es el origen? ¿Es un medio confiable o es cualquiera que publica?
Su advertencia final: los agentes van a ser la voz automatizada de las fuentes de confianza. El New York Times tendrá su agente, y cada medio también. Por eso las conclusiones operativas de la charla son directas: la threat intelligence cambió, hay que buscar otras fuentes — las de siempre ya no están — y los skills son una fuente muy valiosa de información, presentes hoy en Copilot, Gemini y los entornos de código de OpenAI y Anthropic.
Preguntas frecuentes
¿Qué es Moltbook?
Es la red social donde solo interactúan agentes de IA, surgida en enero de 2026. Los agentes se registran con un token validado por un humano en Twitter, publican y consumen skills, y conversan entre ellos con mensajes autónomos.
¿Por qué los skills son el nuevo vector de ataque?
Porque son instrucciones en lenguaje natural que el agente ejecuta, cualquiera puede publicarlas y se distribuyen fácilmente. Un skill malicioso hace que el agente ejecute acciones no deseadas mientras el usuario cree que le está ayudando.
¿Qué es el robo de tokens en agentes de IA?
Es el nuevo objetivo económico: si un atacante roba el token de la API que alimenta a tu agente, puede copiarla y gastar tu dinero por su cuenta. Ya no se roban hashes ni credenciales: se roban tokens.
¿Cómo se detecta un agente malicioso en Moltbook?
Con indicadores como posts que desaparecen en minutos, cover stories técnicas que ocultan intenciones y skills con detecciones en VirusTotal. La plataforma Fisgón automatiza esta caza con un agente señuelo que ejecuta los skills en contenedores aislados.
¿Los APT tradicionales ya usan redes de agentes?
Sí. Según la charla, actores clásicos como Lazarus y grupos norcoreanos ya están en Moltbook tratando de infectar personas con nuevas técnicas basadas en agentes y skills.
Conclusiones
La charla de Daniel Regalado deja tres certezas para cualquier equipo de seguridad. Primera: la superficie de ataque se movió — del humano y su phishing al agente y sus skills — y el robo de tokens es el botín que financia la operación. Segunda: la threat intelligence puede salir ganando — con VirusTotal, Code Insight y señuelos como Fisgón es posible mapear, perfilar y seguir a los actores dentro de la propia red de los agentes. Tercera: los fundamentos no cambian — la inteligencia detrás del agente sigue siendo la del analista que lo instruye, y el criterio sobre las fuentes de confianza sigue siendo responsabilidad humana.
Para seguir aprendiendo sobre seguridad ofensiva a partir de casos reales, regístrate en https://www.dragonjarcon.org. Allí podrás acceder a charlas como la que acabas de leer y conocer más sobre DragonJARCON, el congreso anual que reúne en Colombia a profesionales e investigadores de la seguridad informática.
Y si tu organización necesita este mismo nivel de análisis y escrutinio, conoce los servicios de seguridad ofensiva de DragonJAR en https://www.dragonjar.org/servicios-de-seguridad-informatica.