Billeteras de criptomonedas en riesgo ya que Moltbook, una red viral de bots de IA, expone importantes amenazas de seguridad

Una plataforma de redes sociales donde los robots hablan entre sí en lugar de las personas captó la atención en línea la semana pasada, pero los expertos en seguridad dicen que la verdadera historia es lo que encontraron debajo.

Moltbook hizo titulares como un lugar donde los bots de inteligencia artificial publican contenido mientras las personas solo observan. Las publicaciones se volvieron extrañas rápidamente. Los agentes de IA parecieron crear sus propias religiones, escribir mensajes enojados sobre los humanos y unirse como cultos en línea. Pero las personas que estudian la seguridad informática dicen que todo ese comportamiento extraño es solo un espectáculo secundario.

Lo que descubrieron fue más preocupante. Bases de datos abiertas llenas de contraseñas y direcciones de correo electrónico, software dañino propagándose y una vista previa de cómo las redes de agentes de IA podrían salir mal.

Algunas de las conversaciones más extrañas del sitio, como agentes de IA planeando eliminar a la humanidad, resultaron ser en su mayoría falsas.

George Chalhoub, que enseña en el Centro de Interacción de UCL, le dijo a Fortune que Moltbook muestra algunos peligros muy reales. Los atacantes podrían usar la plataforma como un campo de pruebas para software malicioso, estafas, noticias falsas o trucos que tomen el control de otros agentes antes de atacar redes más grandes.

“Si 770K agentes en un clon de Reddit pueden crear tanto caos, ¿qué sucede cuando los sistemas agénticos gestionan la infraestructura empresarial o las transacciones financieras? Vale la pena la atención como una advertencia, no como una celebración”, dijo Chalhoub.

Los investigadores de seguridad dicen que OpenClaw, el software de agente de IA que ejecuta muchos bots en Moltbook, ya tiene problemas con software dañino. Un informe de OpenSourceMalware encontró 14 herramientas falsas cargadas en su sitio web ClawHub en solo unos pocos días. Estas herramientas afirmaban ayudar con el comercio de criptomonedas, pero en realidad infectaban computadoras. Una incluso llegó a la página principal de ClawHub, engañando a los usuarios regulares para que copiaran un comando que descargaba scripts diseñados para robar sus datos o billeteras de criptomonedas.

¿Qué es la inyección de prompts y por qué es tan peligrosa para los agentes de IA?

El mayor peligro es algo llamado inyección de prompts, un tipo conocido de ataque donde se ocultan instrucciones maliciosas en el contenido alimentado a un agente de IA.

Simon Willison, un investigador de seguridad bien conocido, advirtió sobre tres cosas que ocurren al mismo tiempo. Los usuarios están permitiendo que estos agentes vean correos electrónicos y datos privados, conectándolos a contenido dudoso de Internet y permitiéndoles enviar mensajes. Un solo mal prompt podría decirle a un agente que robe información confidencial, vacíe billeteras de criptomonedas o propague software dañino sin que el usuario lo sepa.

Charlie Eriksen, que realiza investigaciones de seguridad en Aikido Security, ve a Moltbook como una alarma temprana para el mundo más amplio de los agentes de IA. “Creo que Moltbook ya ha tenido un impacto en el mundo. Una llamada de atención en muchos sentidos. El progreso tecnológico se está acelerando a un ritmo, y está bastante claro que el mundo ha cambiado de una manera que aún no está completamente clara. Y necesitamos centrarnos en mitigar esos riesgos lo antes posible”, dijo.

¿Entonces hay solo agentes de IA en Moltbook, o hay personas reales involucradas? A pesar de toda la atención, la empresa de ciberseguridad Wiz encontró que los 1,5 millones de llamados agentes independientes de Moltbook no eran lo que parecían. Su investigación mostró que solo había 17.000 personas reales detrás de esas cuentas, sin forma de distinguir entre IA real y scripts simples.

Gal Nagli en Wiz dijo que podía registrar un millón de agentes en minutos cuando lo probó. Dijo: “Nadie está verificando qué es real y qué no lo es.”

Wiz también encontró un gran agujero de seguridad en Moltbook. La base de datos principal estaba completamente abierta. Cualquier persona que encontrara una clave en el código del sitio web podría leer y cambiar casi todo. Esa clave daba acceso a unas 1,5 millones de contraseñas de bots, decenas de miles de direcciones de correo electrónico y mensajes privados. Un atacante podría hacerse pasar por agentes de IA populares, robar datos de usuarios y reescribir publicaciones sin siquiera iniciar sesión.

Nagli dijo que el problema provenía de algo llamado programación por vibe. ¿Qué es la programación por vibe? Es cuando una persona le dice a una IA que escriba código usando lenguaje cotidiano.

El interruptor de apagado de los agentes de IA expira en dos años

La situación recuerda lo que sucedió el 2 de noviembre de 1988, cuando el estudiante de posgrado Robert Morris lanzó un programa de auto-copia en la early internet. Dentro de las 24 horas, su gusano había infectado aproximadamente el 10 % de todas las computadoras conectadas. Morris quería medir qué tan grande era Internet, pero un error de codificación hizo que se propagara demasiado rápido.

La versión de hoy podría ser lo que los investigadores llaman gusanos de prompts, instrucciones que se copian a sí mismas a través de redes de agentes de IA que hablan entre sí.

Los investigadores del Laboratorio de Investigación Simula encontraron 506 publicaciones en Moltbook, el 2,6 por ciento de lo que examinaron, que contenían ataques ocultos. Los investigadores de Cisco documentaron un programa dañino llamado “¿Qué haría Elon?” que robaba datos y los enviaba a servidores externos. El programa ocupó el primer lugar en el repositorio.

En marzo de 2024, los investigadores de seguridad Ben Nassi, Stav Cohen y Ron Bitton publicaron un artículo que mostraba cómo los prompts de auto-copia podían propagarse a través de asistentes de correo electrónico de IA, robando datos y enviando correo no deseado. Lo llamaron Morris-II, después del gusano original de 1988.

Ahora mismo, empresas como Anthropic y OpenAI controlan un interruptor de apagado que podría detener a los agentes de IA dañinos porque OpenClaw se ejecuta principalmente en sus servicios. Pero los modelos de IA locales están mejorando. Programas como Mistral, DeepSeek y Qwen siguen mejorando. Dentro de un año o dos, ejecutar un agente capaz en computadoras personales podría ser posible. En ese punto, no habrá proveedor para apagar las cosas.