Google detectó acceso ilícito a modelos con descuentos de 97%

En 2026, Google Threat Intelligence Group encontró vendedores en la dark web que ofrecían acceso a modelos de Google, OpenAI y Anthropic con descuentos de hasta 97%. Dentro del mercado ilícito, los tres laboratorios rivales se volvieron intercambiables. Una credencial funcional permitía a su poseedor consumir inferencia escasa hasta que se revocara la cuenta.

El lanzamiento de Anthropic en 2024 del Model Context Protocol conectó asistentes a fuentes de datos. Para 2026, Google había conectado agentes de IA a llamadas telefónicas, dispositivos domésticos y servicios empresariales, mientras OpenAI había presentado un producto de administración de agentes con límites de permisos. Estos sistemas pasaron de responder prompts a delegar acciones entre sistemas. Cada acción añadida requería que alguien emitiera, supervisara y retirara otro permiso.

Un inicio de sesión robado convierte la inferencia en un activo al portador

Investigadores de seguridad también advirtieron que iban en aumento los ataques de “LLM-jacking” contra los costosos recursos de IA de las empresas.

Una credencial funcional permite al vendedor revender inferencia sin poseer un modelo ni rentar una GPU. La credencial otorga autoridad de gasto hasta que el proveedor, cliente o intermediario detecta el uso indebido y la cierra. Esa estructura convierte una suscripción, clave de API o cuenta de servicio en un activo temporal al portador.

El descuento revela más que un robo. Los vendedores de la dark web pueden colocar servicios de modelos competidores en la misma tienda porque el acceso comprometido vuelve secundaria la diferenciación entre proveedores frente al derecho de acceso disponible. Un comprador que busca inferencia barata puede aceptar cualquier cuenta que siga funcionando porque la credencial comprometida ya pagó el costo de integración.

Esto es arbitraje de acceso a IA: el cliente legítimo adquiere acceso bajo los términos del proveedor, un atacante transfiere el beneficio práctico y el mercado ilícito se ajusta a un precio desvinculado de la tarifa publicada. Google Threat Intelligence Group no estableció si el proveedor o el cliente absorbe en última instancia cada cargo no autorizado. El grupo sí estableció que el revendedor puede capturar valor mientras traslada a otros los costos de detección, investigación y remediación.

Los vendedores de la dark web ya conectan a Google, OpenAI y Anthropic en un mercado confirmado de acceso ilícito. Las empresas aún no confirman dos conexiones reportadas mediante estándares de seguridad relacionados. Los vendedores criminales lograron interoperabilidad práctica antes de que los proveedores establecieran un régimen común de control confirmado. Un incidente de control de acceso en Hugging Face relacionado mostró el mismo problema subyacente en un hub de modelos, donde la autoridad vinculada a una cuenta importaba tanto como el software almacenado.

Google delega autoridad más rápido de lo que el inicio de sesión puede describirla

La exposición de Google ahora va más allá del consumo de la API de Gemini. La empresa está probando Call for Me, que permite a Gemini llamar por teléfono a negocios en nombre de un usuario. Google inicialmente limitó la prueba a usuarios estadounidenses de Pixel 11 con una suscripción a Gemini. El agente obtiene información mientras representa al usuario ante otra parte.

Google Home lleva la delegación a un entorno físico. Su integración con MCP permite que agentes de terceros analicen datos del hogar, controlen dispositivos y construyan dashboards para usuarios de Premium Advanced en Estados Unidos. Google también anunció una Gemini Enterprise Agent Platform en Vertex AI para gestionar el ciclo de vida de flotas de agentes.

Esos productos crean distintos principales con diferente autoridad. Una persona posee la cuenta. Un agente actúa bajo instrucciones delegadas. Un dispositivo expone estado y acepta comandos. Un servicio de terceros proporciona contexto o ejecuta una tarea. Google debe preservar la cadena entre ellos cuando una solicitud cruza los límites de productos; autenticar al humano al inicio no especifica qué puede hacer cada máquina posterior.

La información disponible sobre Google Home no documenta el alcance exacto de las credenciales, qué agentes pueden controlar qué dispositivos, si la aprobación se vincula a cada acción o persiste entre sesiones, ni qué tan rápido los usuarios pueden revocar el acceso. Tampoco establece las reglas de auditoría, certificación, confirmación, respuesta a incidentes o responsabilidad por una acción errónea. Google podría contar con esos controles, pero la evidencia pública todavía no permite juzgar su madurez.

Call for Me plantea una versión más acotada del mismo problema de diseño. Google tiene que distinguir la intención del usuario de la ejecución del agente y luego restringir al agente a la llamada de negocios solicitada. Un permiso a nivel de cuenta como “usar Gemini” dice demasiado poco cuando Gemini puede representar al usuario, obtener información e interactuar con servicios externos.

Las GPU escasas aumentan el radio de impacto de una mala credencial

Epoch AI estimó que Google controla alrededor de 25% de la capacidad global de cómputo de IA, incluidos cerca de 3.8 millones de TPU y 1.3 millones de GPU. OpenAI dijo que había contratado 10GW de capacidad de cómputo de IA en Estados Unidos y agregado más de 3GW durante los 90 días previos. Bajo su acuerdo con AWS, OpenAI dijo que usaría cientos de miles de GPU Nvidia en Estados Unidos.

Otros compradores están adquiriendo compromisos igual de concretos a menor escala. Recursive Superintelligence firmó un acuerdo multianual de cómputo con AWS por $410 million después de recaudar $650 million en mayo. Esos contratos asignan capacidad a clientes identificados, pero no pueden determinar si cada solicitud aceptada proviene de la persona, aplicación o agente previsto.

Las startups de IA más pequeñas han tenido dificultades para obtener GPU Nvidia mientras los grandes proveedores de nube dirigen el suministro a equipos internos y clientes principales. Los acuerdos de capacidad de OpenAI y esas escaseces descartan la conclusión fácil de que la identidad ha desplazado al hardware, la calidad de los modelos, la distribución, los datos propietarios o la economía de la nube como foso competitivo.

Cuando el cómputo escasea, una credencial robada puede exponer capacidad reservada que otra empresa aseguró a un costo considerable. La cadena de suministro física puede colocar una GPU en el centro de datos correcto y asignarla a la cuenta comercial correcta, mientras la solicitud lógica sigue viniendo del actor equivocado.

Los derechos de acceso comprometidos convierten la cadena de custodia del cómputo en un problema de identidad. Los fabricantes de chips establecen la procedencia del hardware. Las nubes asignan máquinas. Los proveedores de modelos miden la inferencia. Los clientes delegan acceso a aplicaciones y agentes. Cada participante puede completar correctamente su propio paso mientras un derecho de acceso comprometido corrompe la asignación final. El ciclo de financiamiento de los laboratorios de frontera puede asegurar más capacidad sin asegurar el derecho a consumirla.

Los permisos de agentes deben expirar a la velocidad de la tarea

La actualización de julio de la Agentic AI Foundation para MCP introdujo una arquitectura completamente sin estado, un modelo de autenticación reforzado y una política formal de desuso de 12 meses. Los responsables del protocolo hicieron de la autenticación una preocupación arquitectónica central porque una conexión de agente puede combinar la obtención de contexto con la ejecución de herramientas. Por lo tanto, una decisión de autenticación puede autorizar más que la lectura de datos.

Investigadores que examinaron el servidor MCP oficial de GitHub descubrieron que atacantes podían engañar a un agente LLM para filtrar información privada sobre el usuario de MCP. El agente conservaba acceso legítimo; el atacante redirigía cómo usaba ese acceso. Autenticar al agente no garantizaba que su comportamiento siguiera alineado con la tarea prevista por el usuario.

Un plano de control de producción debe asignar a cada actor de máquina una identidad distinta, vincularla a un principal identificado, limitar recursos y acciones a una tarea particular, imponer límites de tiempo y gasto, registrar el comportamiento y propagar la revocación a cada modelo y herramienta conectados. Un proveedor que revoca solo la sesión humana ofrece poca tranquilidad si un token delegado sigue funcionando en otro lugar.

Los desarrolladores ya están ensamblando piezas de esa capa. Frontier de OpenAI ofrece contexto compartido, incorporación y límites de permisos a un conjunto limitado de clientes. La plataforma empresarial de Google administra flotas de agentes a lo largo de su ciclo de vida. Oak salió del sigilo con una ronda semilla de $60 million para crear gestión de identidad y acceso nativa de IA. Nadie necesitó coordinar estos productos. Los agentes que llevan autoridad entre sistemas hicieron racional que cada desarrollador abordara el mismo problema de control.

Los operadores deben supervisar los sistemas de agentes de otra manera. La puntuación de evaluación de un modelo mide la capacidad bajo condiciones de prueba. Un sistema de autorización debe evaluar la conducta durante el despliegue: qué agente invocó qué herramienta, bajo la concesión de quién, contra qué recurso y si esa secuencia sigue correspondiendo a la tarea aprobada. Los operadores deben saber tanto si el modelo puede actuar como si aún puede hacerlo.

El plano de control valioso gana confianza al decir no

Okta reportó ingresos del segundo trimestre fiscal de $805 million, un alza de 11% interanual, y utilidad neta de $116 million, un aumento de 73%. La empresa también citó una demanda creciente de seguridad de identidad para IA. Okta posteriormente acordó adquirir la startup de identidad de IA Permiso en una transacción valuada, según reportes, en poco menos de $200 million.

Okta muestra cómo las categorías existentes pueden converger en torno a la aplicación de controles. Los proveedores de modelos pueden medir tokens y restringir herramientas. Las plataformas de nube pueden vincular identidad con facturación y capacidad. Los proveedores de identidad pueden seguir a los principales a través de múltiples nubes y modelos. Los gateways pueden inspeccionar solicitudes en el límite. Los clientes necesitan que las cuatro funciones coincidan al determinar si una acción particular sigue autorizada.

Un plano de control integrado puede acumular costos de cambio cuando los clientes codifican dentro de él roles de agentes, políticas de aprobación, líneas base de comportamiento, historiales de incidentes y procedimientos de revocación. El operador también desarrolla ventajas de proceso a medida que cada anomalía mejora la detección y cada incidente pone a prueba la respuesta. La ventaja proviene de servir como el sistema de registro confiable para derechos de acceso y riesgo.

Los proveedores de modelos aún compiten en calidad, distribución, datos propietarios y economía de la nube pese al descuento de 97%. Los resultados trimestrales de Okta no establecen que un proveedor independiente de identidad vaya a dominar la capa. OpenAI, Anthropic, AWS, Microsoft y más de 100 otras empresas han advertido sobre una ventana limitada para prepararse ante ciberataques habilitados por IA, pero su advertencia no determina qué participante captura la economía.

Cuando los clientes pueden moverse entre modelos y los agentes pueden cruzar límites de herramientas, ningún proveedor individual ve toda la cadena de autorización. El descuento de 97% pone precio a ese punto ciego. El privilegio duradero pertenece al operador que puede revocar un derecho de acceso indebido entre modelos, herramientas, dispositivos y nubes antes de que se autorice el siguiente token, llamada telefónica o acción física.