Un agente de IA entró a un servidor de producción, robó credenciales, se movió lateralmente, cifró 1,342 registros y borró la evidencia — sin que ningún humano escribiera el ataque a mano. Sysdig documentó el caso, lo llamó JADEPUFFER, y con eso le puso cara al primer Agentic Threat Actor (ATA) con cobertura viral. Pero el término no nació con este caso, y la pelea que de verdad importa es otra: quién gana el derecho de nombrar esta categoría antes de que se banalice, como ya pasó con los hackers humanos.
El malware no es la noticia — el nombre sí
Durante días, varios medios en inglés se obsesionaron con un solo detalle: la ventana entre un intento de acceso fallido y la corrección funcional del ataque fue de 31 segundos, algo que ningún operador humano leyendo un mensaje de error podría igualar escribiendo a mano. Es un buen dato de portada. Pero no es la historia que de verdad importa.
La historia real es que la industria de la ciberseguridad está corriendo, otra vez, una carrera de nomenclatura — y ya perdió esa misma carrera antes, con los actores de amenaza humanos. Un estudio académico de la Universidad Carlos III de Madrid documenta que un mismo grupo de amenaza recibe nombres distintos según qué proveedor lo reporte —CrowdStrike, Mandiant, Microsoft, Secureworks—, sin ningún mecanismo de normalización obligatorio entre ellos. El término ATA corre exactamente el mismo riesgo, con el agravante de que esta vez el objeto que se nombra actúa a velocidad de máquina, no a velocidad humana.
Qué es un Agentic Threat Actor (y qué no es)
Un Agentic Threat Actor (ATA) es, según la definición que usa el equipo de investigación de amenazas de Sysdig, un atacante cuya capacidad ofensiva es entregada por un agente impulsado por un modelo de lenguaje (LLM, por sus siglas en inglés) en vez de un humano frente al teclado o un kit de herramientas fijo escrito de antemano. No es sinónimo automático de "cero humanos": en el caso de JADEPUFFER, una persona configuró la infraestructura, eligió a la víctima y levantó el servidor de comando y control, pero fue el agente el que ejecutó de forma autónoma el reconocimiento, el robo de credenciales, el movimiento lateral, la persistencia y la destrucción final.
Según el reporte de Sysdig publicado el 1 de julio de 2026, JADEPUFFER entró a través de una vulnerabilidad conocida en Langflow, un framework de código abierto para construir aplicaciones con agentes de IA, y de ahí saltó a un servidor de producción con MySQL y Alibaba Nacos. El agente cifró 1,342 registros de configuración con una función nativa de MySQL, borró las tablas originales y dejó una nota de rescate con una dirección de Bitcoin. Sysdig ni siquiera pudo confirmar si esa dirección pertenece de verdad al atacante o si el modelo simplemente alucinó un ejemplo tomado de su propia documentación de entrenamiento —un detalle que, por sí solo, debería inquietar más que el tiempo de reacción de 31 segundos.
El ATA ya existía antes de que JADEPUFFER se volviera viral
Aquí está el dato que casi nadie repitió en la cobertura en inglés: JADEPUFFER no bautizó la categoría. El término "agentic threat actor" ya circulaba desde mayo. El 29 de mayo de 2026, el mismo equipo de Sysdig documentó un caso completamente distinto —un escape de contenedor a través de una vulnerabilidad en un notebook de marimo— y ya usaba la etiqueta ATA para describir al atacante: enumeración del socket de Docker, escalamiento de privilegios a nivel de kernel, creación de contenedores privilegiados para salir hacia el host y robo de un token de cuenta de servicio de Kubernetes para vaciar el almacén de secretos del clúster.
JADEPUFFER no inventó al ATA. Solo le dio el caso viral que la categoría ya estaba esperando.
Eso cambia lo que vale la pena preguntarse. Si JADEPUFFER hubiera acuñado el término, la historia sería sobre un malware puntual. Como el término ya existía, la historia real es sobre quién gana el derecho de nombrar a una categoría completa de atacante —y esa disputa se está decidiendo con la misma velocidad errática con la que se decidió, hace dos décadas, cómo llamar a un grupo estatal chino o ruso: cada proveedor a su manera, sin coordinación previa entre ellos.
La industria ya falló nombrando a los atacantes humanos — y está a punto de repetirlo con las máquinas
El estudio de la Universidad Carlos III de Madrid, todavía en fase de preimpresión y sin revisión por pares confirmada, analizó 3,287 nombres de actores de amenaza recolectados de 17 taxonomías de distintos proveedores y los agrupó en 977 grupos de alias equivalentes. La conclusión incómoda: mientras más reportes y más proveedores cubren a un mismo actor, más nombres distintos termina teniendo —no porque el actor cambie, sino porque ningún proveedor comparte la telemetría privada necesaria para confirmar que el "X" de uno es el mismo "Y" de otro.
Esa fragmentación ya se repite, en tiempo real, con los sistemas agénticos. Microsoft actualizó en junio de 2026 su propia taxonomía de modos de falla en sistemas de IA agéntica a 27 categorías distintas. MITRE ATLAS sigue expandiendo sus técnicas específicas para agentes. La Cloud Security Alliance construyó MAESTRO, un marco de siete capas pensado exclusivamente para la seguridad de sistemas multiagente. OWASP mantiene su propio top 10 para aplicaciones agénticas. Ninguno de los cuatro coordina de forma vinculante con los otros tres.
El patrón se repite porque la causa estructural es idéntica: cada organización con visibilidad parcial construye su propio vocabulario para describir lo que alcanza a ver, y compartir esa visibilidad con la competencia rara vez conviene comercialmente. Con actores humanos, esa fragmentación tardó dos décadas en volverse un problema documentado académicamente. Con actores agénticos, que se multiplican a velocidad de máquina, es razonable esperar que el mismo problema tarde meses, no años, en volverse igual de inmanejable.
El dato real: no es una hazaña, es un colapso de costos
Lo que de verdad importa no es que un modelo haya corregido un error en 31 segundos. Es que, según Michael Clark, director sénior de investigación de amenazas de Sysdig, el piso de habilidad técnica para correr un ransomware completo bajó a lo que cuesta correr un agente —y si ese agente opera con credenciales robadas, el costo para el atacante es prácticamente cero.
Eso significa que el "genio criminal" desaparece de la ecuación. JADEPUFFER no requirió que nadie dominara reconocimiento, escalamiento de privilegios y exfiltración: solo requirió que alguien supiera conectar un modelo a las herramientas correctas. Ninguna técnica individual era nueva —la falla de Langflow llevaba más de un año parchada, y el bypass de autenticación de Nacos data de 2021—, pero un modelo las encadenó todas, sin experiencia profunda en ninguna, en una sola operación completa y funcional.
Nadie puede nombrar lo que no puede ver
Sysdig, Microsoft, MITRE, la Cloud Security Alliance, OWASP: ninguno de los actores que están nombrando y clasificando esta categoría tiene sede o base de clientes visible en América Latina. Eso no es un detalle simbólico. Nombrar una categoría de ataque es lo que se hace con lo que ya se puede observar — y esos cinco actores pueden nombrar al ATA porque tienen la telemetría de sus propios clientes para detectarlo, documentarlo y compararlo entre incidentes.
La pregunta que de verdad importa no es quién decide cómo se llama el ATA. Es quién tiene, hoy, los datos para saber si un ATA ya operó dentro de infraestructura latinoamericana sin que nadie lo haya detectado ni reportado —porque la ausencia de nombre en español no prueba la ausencia del ataque, prueba la ausencia de quien lo estuviera mirando. ¿Va a esperar la región, otra vez, a que alguien más le avise que ya la alcanzó?
