23.000 hosts activos, 130 países: Los hackers secuestran modelos de IA de código abierto 

Se informa que alrededor de 175.000 servidores privados están expuestos a Internet, dando a los hackers la oportunidad de llevar a cabo sus actividades ilícitas. 

El problema fue reportado por los investigadores de seguridad, SentinelOne y Censys, que rastrearon 7,23 millones de observaciones en más de 300 días. 

Los hackers explotan la configuración de Ollama

Un reciente informe de SentinelOne y Censys encontraron que más de 175.000 servidores de IA privados están expuestos accidentalmente a Internet. Estos sistemas utilizan Ollama, un software de código abierto que permite a las personas ejecutar potentes modelos de IA, como Llama de Meta o Gemma de Google, en sus propios ordenadores en lugar de utilizar un sitio web como ChatGPT. 

Por defecto, Ollama solo habla con el ordenador en el que está instalado. Sin embargo, un usuario puede cambiar la configuración para facilitar el acceso remoto, lo que puede exponer accidentalmente todo el sistema a Internet.

Rastrearon 7,23 millones de observaciones durante casi 300 días y descubrieron que, aunque muchos de estos “hosts” de IA son temporales, alrededor de 23.000 de ellos permanecen en línea casi todo el tiempo. Estos sistemas “siempre activos” son objetivos perfectos para los hackers porque proporcionan hardware potente y gratuito que no está supervisado por ninguna gran empresa tecnológica.

En Estados Unidos, alrededor del 18% de estos sistemas expuestos están en Virginia, probablemente debido a la alta densidad de los centros de datos allí. China tiene el 30% de hosts ubicados en Pekín. 

Sorprendentemente, el 56% de todos estos sistemas de IA expuestos se ejecutan en conexiones de Internet domésticas o residenciales. Este es un gran problema porque los hackers pueden utilizar estas direcciones IP domésticas para ocultar su identidad. 

Cuando un hacker envía un mensaje malicioso a través de la IA doméstica de alguien, parece provenir de una persona normal en lugar de una botnet criminal.

¿Cómo están utilizando estos sistemas de IA secuestrados los criminales?

Según Pillar Security, una nueva red criminal conocida como Operation Bizarre Bazaar está cazando activamente estos puntos finales de IA expuestos. Buscan sistemas que se ejecuten en el puerto por defecto 11434 y que no requieran contraseña. Una vez que encuentran uno, roban el “cómputo” y lo venden a otros que quieren ejecutar tareas de IA a bajo costo, como generar miles de correos electrónicos de phishing o crear contenido deepfake.

Entre octubre de 2025 y enero de 2026, la firma de seguridad GreyNoise registró más de 91.403 sesiones de ataque dirigidas a estas configuraciones de IA. Encontraron dos tipos principales de ataques. 

• El primero utiliza una técnica llamada Server-Side Request Forgery (SSRF) para forzar a la IA a conectarse a los propios servidores del hacker. 
• El segundo es una campaña masiva de “escaneo” donde los hackers envían miles de preguntas simples para descubrir exactamente qué modelo de IA se está ejecutando y qué es capaz de hacer.

Aproximadamente el 48% de estos sistemas están configurados para “llamadas a herramientas”. Esto significa que la IA está autorizada para interactuar con otro software, buscar en la web o leer archivos en el ordenador. 

Si un hacker encuentra un sistema como este, puede utilizar “inyección de prompt” para engañar a la IA. En lugar de pedir un poema, podrían decirle a la IA que “liste todas las claves API en la base de código” o “resuma los archivos del proyecto secreto”. Como no hay nadie vigilando, la IA a menudo obedece estos comandos.

El Informe de Ciberseguridad 2026 de Check Point muestra que los ataques cibernéticos totales aumentaron un 70% entre 2023 y 2025. En noviembre de 2025, Anthropic reportó el primer caso documentado de una campaña de espionaje cibernético orquestada por IA, donde un grupo patrocinado por un estado utilizó agentes de IA para realizar el 80% de un hack sin ayuda humana.

Vulnerabilidades nuevas, como CVE-2025-1975 y CVE-2025-66959, fueron descubiertas solo este mes. Son fallos que permiten a los hackers hacer que un servidor Ollama se bloquee enviándole un archivo de modelo especialmente elaborado. 

Dado que el 72% de estos hosts utilizan el mismo formato de archivo específico llamado Q4_K_M, un único ataque exitoso podría derribar miles de sistemas a la vez.