PoeLLM: El malware que usa poesía para secuestrar servidores de IA

Un nuevo paradigma en el cibercrimen de IA: El caso Canto Incognito

La ciberseguridad en el ecosistema de la Inteligencia Artificial ha entrado en una fase crítica con la revelación de la campaña Canto Incognito. Según el análisis de Black Lotus Labs, la división de inteligencia de amenazas de Lumen, más de 3.400 servidores han sido comprometidos por el malware PoeLLM. Este incidente no es solo una intrusión aislada, sino una señal de cómo la infraestructura de IA se ha convertido en el nuevo objetivo predilecto para el cibercrimen organizado, desplazando el enfoque tradicional hacia las estaciones de trabajo de consumo.

La anatomía del ataque: Esteganografía literaria y evasión

La sofisticación de PoeLLM reside en su método de comunicación C2 (comando y control). A diferencia de los ataques que utilizan dominios generados algorítmicamente (DGA) o direcciones IP estáticas, los atacantes han implementado una forma de esteganografía digital: el uso de poesía alojada en repositorios públicos de GitHub. En este esquema, el malware descarga estrofas específicas y utiliza palabras clave predefinidas como coordenadas para decodificar la dirección IP del servidor remoto. Este mecanismo ha sido actualizado en al menos 11 ocasiones desde abril de 2026, lo que demuestra una capacidad de adaptación técnica que complica severamente las tareas de detección de los sistemas de intrusión (IDS) convencionales.

El análisis forense indica que, una vez comprometidos, los servidores no solo ejecutan mineros de criptomonedas como XMRig e Iron —conectados a la infraestructura de Kryptex—, sino que también actúan como nodos de escaneo y propagación. Esto convierte a cada víctima en un vector de ataque, amplificando el alcance de la campaña de manera exponencial y transformando servidores de alto rendimiento en herramientas de monetización ilícita para el atacante.

¿Por qué Ollama, LiteLLM y Gotenberg?

La elección de los objetivos por parte de los operadores de Canto Incognito revela una comprensión profunda de las debilidades actuales en la arquitectura de las empresas que adoptan IA. Herramientas como Ollama, que permite ejecutar modelos de lenguaje locales, y LiteLLM, un gateway esencial para unificar llamadas a APIs, están siendo desplegadas masivamente sin las salvaguardas de red necesarias. El problema se agrava con Gotenberg, una API para conversión de documentos, cuyos manuales advierten explícitamente sobre los peligros de su exposición pública, una advertencia frecuentemente ignorada en entornos de desarrollo ágil.

Históricamente, los administradores de sistemas han priorizado la funcionalidad y la baja latencia sobre la seguridad perimetral en entornos de pruebas. Sin embargo, este incidente demuestra que dejar un endpoint expuesto a la red pública, incluso si se considera un entorno de desarrollo, es una invitación abierta para actores malintencionados. La falta de autenticación robusta en versiones no actualizadas de estas herramientas es el vector de entrada que ha permitido este ataque sistémico.

Impacto en el mercado y contexto histórico

Este episodio marca un cambio de paradigma significativo. En la última década, el malware de criptominería se centraba principalmente en PCs personales o navegadores web mediante cryptojacking. Hoy, el valor reside en la potencia de cómputo de las GPUs, que son el motor de la revolución de la IA. La infraestructura de IA no solo ofrece acceso a recursos de cómputo, sino que frecuentemente actúa como puente hacia datos corporativos sensibles.

Comparado con incidentes pasados como las campañas de botnets tipo Mirai, que explotaban dispositivos IoT, Canto Incognito es mucho más peligroso debido a que se infiltra en el núcleo mismo de la infraestructura de TI moderna. Mientras que Mirai buscaba dispositivos con contraseñas por defecto, PoeLLM explota la lógica de negocio y la configuración de middleware de IA, un área donde la estandarización de la seguridad aún es incipiente. La especulación actual sugiere que, si bien el motivo parece ser la minería financiera (dada la conexión con servicios rusos de criptominería), la infraestructura creada podría ser utilizada para ataques mucho más complejos, como el robo de datos propietarios o el entrenamiento de modelos maliciosos mediante inyecciones en los pipelines de datos.

Recomendaciones estratégicas para administradores

Para mitigar riesgos frente a este nuevo panorama, es indispensable adoptar un enfoque de defensa en profundidad:

• Auditoría de exposición: Es imperativo auditar todos los servicios de IA y gateways. Herramientas como Ollama o LiteLLM nunca deben exponerse directamente a la red pública; deben estar protegidas por un proxy inverso con autenticación mutua (mTLS) y control de acceso basado en roles.
• Gestión proactiva de parches: La vulnerabilidad explotada en LiteLLM ya contaba con un parche desde abril de 2026. La demora en la actualización de componentes de software de código abierto es el eslabón más débil de la cadena de seguridad actual.
• Monitoreo de tráfico saliente: Implementar reglas de firewall de salida (egress filtering) estrictas. Un servidor de IA no debería tener necesidad de comunicarse con dominios de repositorios de código desconocidos o con pools de minería de criptomonedas.
• Segregación de red: Aislar los entornos de inferencia de IA en segmentos de red con acceso restringido a internet, permitiendo solo las conexiones estrictamente necesarias para la descarga de modelos o llamadas a APIs autorizadas.

El caso Canto Incognito es una llamada de atención para la industria: la velocidad de la innovación en IA no debe ser una excusa para descuidar los fundamentos de la ciberseguridad. A medida que las organizaciones escalan sus capacidades de IA, la seguridad perimetral y la gestión de vulnerabilidades en el middleware de IA serán las defensas críticas para evitar que el nuevo oro digital termine en manos de terceros.