Atacantes plantaron notas de rescate en las bases de datos que alimentan a chatbots de IA

Un grupo de atacantes dejó notas de rescate dentro de las bases de datos de las que los chatbots de inteligencia artificial sacan sus respuestas. La idea era simple y nueva: que un cliente le hiciera una pregunta al asistente de una empresa y recibiera, en lugar de la respuesta, una exigencia de 2.500 dólares en bitcoin.

El hallazgo es de UpGuard, una firma estadounidense de ciberseguridad, que lo publicó el 14 de octubre y lo describe como el primer caso documentado de extorsión contra la infraestructura de recuperación de un sistema de IA. Las notas llevan la firma de JADEPUFFER, un grupo conocido por usar agentes de IASistema de inteligencia artificial que actúa de forma autónoma para cumplir una tarea, por ejemplo usando programas o conectándose a internet, sin intervención humana en cada paso. autónomos en sus ataques.

La biblioteca del chatbot

Muchos asistentes de IA no responden solo con lo que aprendió el modelo. Antes de contestar, consultan una especie de biblioteca propia de la empresa: manuales, catálogos, documentos internos. Esa técnica se llama RAG, por sus siglas en inglés (generación aumentada por recuperación), y la biblioteca suele vivir en una base de datos vectorial, que guarda los textos de forma que el sistema encuentre rápido los que se parecen a la pregunta.

Chroma es una de las bases de datos vectoriales más usadas para eso, y es de código abierto. El problema es cómo la instalan algunos: sin contraseña y abierta a internet. El 5 de octubre, UpGuard encontró seis direcciones IP con bases Chroma sin autenticación y rastros de la extorsión. Cualquiera podía leerlas y, lo más grave, escribir en ellas.

Dos fases, con un mes de diferencia

Los datos que dejaron los atacantes permiten reconstruir el orden. A principios de junio hubo un reconocimiento: en dos de las bases aparecieron colecciones de prueba cuyos nombres, leídos como marcas de tiempo, apuntan al 2 de junio. El golpe llegó el 11 de julio, según la fecha grabada en los documentos cifrados de una de las víctimas.

El ataque no fue igual en todas partes. En una base, los 50 documentos de la víctima fueron reemplazados por versiones cifradas, con la nota de rescate en sus datos internos. En otras, las colecciones originales quedaron renombradas y vacías. Y en dos, los atacantes crearon una colección llamada production_rag_data, el nombre típico de una biblioteca en producción, con 20 copias idénticas de la nota. Ese es el truco central: disfrazar la extorsión de contenido legítimo para que el chatbot la encuentre y se la muestre al usuario.

La nota no deja dudas sobre la intención. Advierte que el chatbot "devolverá notas de rescate en lugar de respuestas reales" y que las consultas de los clientes traerán contenido malicioso. Da siete días de plazo, promete duplicar el precio después y amenaza con hacer público el incidente.

UpGuard señala que las diferencias entre una base y otra podrían ser la marca de un sistema de IA que prueba y se adapta a cada caso, aunque no encontró registros de su razonamiento que lo confirmen. Tampoco identificó a las víctimas ni informó si alguna pagó. En varias bases, los datos originales seguían intactos: más de 175.000 artículos sobre investigación en IA en una sola de ellas.

Un riesgo anunciado

La firma había advertido esto hace un año, cuando relevó las bases Chroma expuestas en internet: encontró 1.170 accesibles, y cerca de un tercio sin autenticación. En ese momento escribió que alguien podía alterar o envenenar los datos de un chatbot para que diera información falsa o peligrosa.

JADEPUFFER ya tenía antecedentes. En julio, la empresa de seguridad Sysdig lo detectó explotando una falla de Langflow, una herramienta para armar aplicaciones con IA. En septiembre, Microsoft informó ataques del mismo grupo contra cuentas de Azure con credenciales robadas, que terminaron con recursos destruidos. UpGuard admite que la firma JADEPUFFER pudo haberla usado otro grupo, aunque considera que la táctica encaja con lo que se conoce de él.

Para cualquier organización que tenga un asistente con RAG, la lección es concreta: la base de datos que alimenta al chatbot necesita autenticación y no debe quedar abierta a internet. Quien ya la tenga expuesta conviene que revise si aparecen colecciones que no creó.

Detalle técnico

Indicadores publicados por UpGuard: colecciones renombradas con el sufijo _ENCRYPTED_JADEPUFFER (a veces repetido), colecciones JADEPUFFER_RANSOM_OPUS48 y ENCRYPTED_BY_JADEPUFFER, colecciones de reconocimiento probe-base- seguidas de 19 dígitos, y colecciones production_rag_data con 20 documentos idénticos. Los documentos cifrados usan el formato Fernet (JP_0000 a JP_0049). La nota cita como vectores la falta de autenticación y la escritura sin autenticar en collections/add. El punto de entrada documentado en campañas anteriores del grupo fue CVE-2025-3248, en Langflow.