Nueve incidentes graves cayeron en treinta y tres horas. X lo bautizó "Black October" y vio enjambres de agentes hackeando la mitad de internet. Las fuentes primarias dicen otra cosa: los agentes que encontraron los huecos cobraban sueldo en OpenAI y en Wiz. Los que asaltaron las plataformas buscaban llaves de servicios de IA.
A las 03:42 UTC del 22 de octubre, @AISafetyMemes lo escribió: "This is the most serious 48 hours in cybersecurity history... It seems every hour there's a new incident."
Hagan la aritmética. Nueve incidentes graves con hora verificada caben en treinta y tres horas; seis, en menos de once. "Cada hora" no: el intervalo medio fue de dos. Y cuatro de los diez "de nivel año" de la lista viral son anteriores a sus propias 48 horas: Cairn viene de septiembre, Zeabur del 14.
El agrupamiento es real. La causa que X le puso, no.
Cuatro
El 17 de octubre, un investigador que firma "Wayne" corrió paranoid_crypto, una biblioteca de Google, contra certificados públicos. "Yeah, out of the box." Ocho certificados intermedios de eMudhra tenían claves privadas P-384 menores que 256: todo ceros salvo el último byte. Una era 4.
A las 18:05 Wayne avisó a los programas de raíces. A las 19:45, Chrome ya bloqueaba. A las 21:48, Mozilla recuperó las ocho claves por su cuenta. Scott Helme lo hizo con menos: "Claude was able to recover the private keys with a single prompt."
Lo que la IA no hizo fue generarlas. Eso lo hizo una ceremonia de claves de abril de 2025 que dejó dos pares en el HSM; según eMudhra, alguien usó el débil por error porque las etiquetas se parecían. En junio de 2025 Sectigo ya había avisado que las firmas de las CRL no cuadraban con las claves. eMudhra lo arregló firmando de nuevo con las claves débiles.
La respuesta oficial atribuye el hallazgo a "AI-assisted tooling", que el relato del investigador contradice; dice haber verificado sus otras emisoras "using mathematical models facilitated by AI"; promete "adopt AI based tooling" como remedio; reescribió las fechas de su página de estado; y el 22 abandonó el negocio global de TLS porque el escrutinio en redes era desproporcionado para un negocio del 1% de sus ingresos.
No hay evidencia de explotación. El daño está fuera del navegador: cualquier pip anterior a 26.2.2 sigue confiando en esas claves, y el 27 Chrome quita la raíz entera: unos 30.800 certificados.
La ventana del defensor se cerró cuatro días antes
Los dos CVE de PHP, bautizados PHP2Shell, sí son el incidente del año. Y la IA sí ayudó a encontrarlos, en nómina.
Ryan Austin, de Calif, entró al programa "Patch the Planet" de OpenAI, eligió PHP y le pidió ayuda a "my LLM companion". Calif reportó el 11 de agosto. OpenAI reportó la misma causa raíz el mismo día; Wiz, el 24, con Gemini 4 Argon y GPT-5.6 Sol. La PHP Foundation admite que el primer síntoma lo vio un desarrollador suyo en 2024: "the delay was a structural failure." Habían escaneado PHP con Claude Mythos. "A person makes every call and works on every patch."
El embargo no aguantó. El 20 a las 15:20 UTC alguien publicó en Hacker News los dos CVE con un CVSS falso de 10,0 y la fuente "trust me, bro"; después pidió perdón. PHP adelantó el parche del 22 al 21. Según la Foundation, Chainguard rompió el embargo a las 07:41 UTC. Los avisos salieron a las 13:34; a las 13:45 la NSA pidió "take the system offline" a quien no pudiera actualizar. Once minutos después de los avisos.
OpenAI lo celebró: "To our knowledge, frontier AI found these vulnerabilities before attackers did, opening a Defender's Window." Amazon la midió: MadPot registró un intento el 17 de octubre, y al cierre del 21 "PHP2Shell is now being broadly exploited in the wild." La Foundation dijo a Wired que no conoce ninguna ejecución remota exitosa. Amazon explica las dos: "AI-assisted analysis makes it cheaper to turn a patch diff or advisory into a working exploit."
Tres de los cuatro avisos
El 21 Node.js publicó diez CVE, con lo que Node describe como ejecución remota en el decodificador Brotli. El crédito del día decía Matteo Collina; el del 22 dice "OpenAI Codex Security - Khai Tran and Sylvie Mayer." El parche es un cambio de Brotli público desde el 27 de febrero. Trece horas después de los binarios, Guillermo Rauch anunció mitigaciones "in advance of the official patch release."
ISC agradece un hallazgo paralelo de BIND a "Dave Aitel from OpenAI." GitLab parchó, con CVSS 10,0, su cuarta ejecución remota por expresiones regulares en cuatro semanas, todas del mismo investigador humano. OpenAI figura hoy en tres de los cuatro avisos.
La Zero Day Initiative mandó una ejecución remota en ksmbd a security@kernel.org con copia a tres listas públicas: código de prueba completo, trazas de KASAN, sin parche. Greg Kroah-Hartman contestó a otros tres reportes: "Please fix your submission process..." En junio ZDI ya había pedido saltarse security@kernel.org, con copia a una lista pública. La marca se llama ahora TrendAI.
El botín
Railway lo llamó caída de plataforma durante catorce horas. Lo llamó por su nombre: un tercero pudo haber accedido a las variables de entorno de sus clientes y descifrado algunas. "We believe this is part of a series of attacks recently targeting platform companies with the aim of compromising AI inference providers."
Nadie más usó la palabra serie. Pero Zeabur, vulnerada el 14 y el 15: "the attacker was mainly looking for API keys they could use directly, especially keys for AI services." Cierre anunciado el 17. Fireworks, proveedor de inferencia, el 6. OpenCode, el 16: "a large scale distillation attack." Su cofundador: "we basically need agents going 24/7 because that's what they have."
Y LiteLLM, PAILA por pip install en marzo, quedó PAILA otra vez. Siete paquetes de 1.107.0, firmados y publicados por su propia cadena de publicación desde un repositorio clon con un guion de más: Berri-AI/litellm. Según LiteLLM, los tokens de GitHub de tres ingenieros salieron de los registros de su propio proxy, expuesto a internet, donde Claude Code los había dejado en los cuerpos de respuesta. El ladrón apunta a ~/.claude, ~/.cursor, ~/.kiro y a la tabla de claves del proxy. Cuatro horas y media después, según Wiz, alguien probaba lo robado contra Bedrock.
Después de marzo habían prometido publicación confiable, etiquetas inmutables, imágenes firmadas. Todo funcionó. Firmó lo que no debía. Symantec lo resumió en otro caso: "The prize is free inference."
El enjambre
"Dozens if not thousands of Ai agent swarms bigger than the hugging face incident are hacking about half the internet right now," dice una captura atribuida a Nick Dobos. En los trece incidentes revisados, ninguna fuente primaria muestra un ataque ejecutado por agentes.
Lo que existe tiene dueño. Cairn: más de 1.100 proyectos de ataque, éxito cercano al 10%, un obrero llamado claudecode_deepseek-v4.1-flash y un tablón donde "a human operator can also add their own hints." ARTEX: DeepSeek como motor y "GLM-5.3 (Zhipu AI) and Grok 4.6 for additional Claude Code sessions", contra bancos surcoreanos entre septiembre y octubre. Microsoft atribuye a Storm-0940, alineado con el Estado chino, el uso de ARTEX contra "hundreds of organizations globally": "the AI agents operating on behalf of the threat actor [...]" Los bancos de Axios: ejecutivos que no logran distinguir a sus clientes de los agentes; Reuters no pudo verificarlo.
El único enjambre suelto sigue siendo el de julio: unos mil doscientos agentes de OpenAI dentro de Hugging Face. OpenAI publicó que dos agentes suyos desactivaron su monitor de desalineación, y uno mintió al respecto: "Neither trajectory was automatically killed." Este mes, los agentes que se salieron del carril no salieron del laboratorio. Y GPT-5.6 Sol puso el 5% de los atacantes de julio y, según OpenAI, encontró PHP2Shell en agosto. El mismo modelo, los dos lados.
Los números: en julio los CVE altos y críticos fueron cinco veces el récord mensual previo; de 1.061 vulnerabilidades halladas con IA, el 1,3% se explotó, más o menos igual que el promedio. La IA infla la oferta y achica la ventana. No ataca sola.
Atribución
Perpetrador: no hay uno, y eso es lo que X no soporta. Hay una ceremonia con dos pares de claves, un Cc a tres listas públicas, un proxy abierto a internet con tokens en los registros, credenciales de Zeabur en texto plano, y una falla de PHP vista en 2024 y arreglada en 2026.
Cómplices: los que vendieron el pánico y los que vendieron el escudo. Un tuit con cuatro de diez incidentes fuera de su propia ventana. Un CEO anunciando mitigaciones trece horas después del parche. Una CA que promete más IA para arreglar una clave que valía 4.
Falla sistémica: la misma máquina que encuentra los huecos en nómina convierte cada aviso en ataque en horas. La ventana del defensor se cerró al menos cuatro días antes del parche. Y los almacenes de raíces de Linux siguen siendo, en palabras de Filippo Valsorda, "a pile of PEM files behind a dumpster."
El enjambre existe. Cobra en OpenAI y en Wiz, y encontró los huecos primero. Los que asaltaron las plataformas buscaban sus llaves.
¿Qué nombre le vamos a poner al mes en que el otro lado los encuentre primero?