El 28 de octubre de 2026, Cequence Security informó de que un escáner había suplantado unas 32 identidades de bots de inteligencia artificial para buscar archivos con credenciales y otros datos sensibles. Cequence señaló que casi todas las solicitudes dirigidas al tráfico que protegía fueron bloqueadas o fallaron. La actividad se observó desde, al menos, finales de septiembre hasta finales de octubre. Cequence Security

Cómo se hizo pasar el escáner por bots de IA

El escáner alternó entre identidades asociadas a OpenAI, Anthropic, Meta, Perplexity y otros proveedores. Una misma máquina llegó a atribuirse identidades de proveedores distintos en cuestión de segundos; las falsas identidades de Claude reutilizaban datos de contacto del rastreador de Anthropic.

Esas señales importan porque el User-Agent, un campo de la solicitud web en el que el cliente declara qué programa es, no verifica por sí solo quién la envía. El escáner tampoco se identificó ni proporcionó una dirección de contacto.

Qué buscaba y qué pasó con las solicitudes

Cequence registró intentos de acceso a unas 90 rutas asociadas a información sensible: archivos de configuración .env, credenciales de servicios en la nube, claves SSH privadas y datos del entorno del servidor. Antes de buscar esos archivos, el escáner enviaba rutas aleatorias sin sentido para detectar sitios que respondían a cualquier dirección solicitada.

Cada dirección enviaba entre 50 y 190 solicitudes en unos ocho segundos antes de cambiar. En el tráfico protegido por Cequence, casi todas las solicitudes del escáner fueron bloqueadas o fallaron. Ese resultado describe el entorno observado por la empresa.

Qué miden las cifras de tráfico

En un día de octubre, el escáner llegó al 48 % de las organizaciones protegidas por Cequence que recibieron algún tráfico de bots de IA. En varias organizaciones de su muestra, el suplantador generó más del 80 % de las solicitudes etiquetadas como tráfico de bots de IA.

Cequence también observó que, en las organizaciones de servicios financieros que estudió, los agentes de IA que actuaban por cuenta de clientes representaban menos de una de cada 4.000 solicitudes, incluso en la institución más expuesta. Esta cifra mide una categoría de solicitudes dentro de esa muestra financiera; no es el mismo indicador que las solicitudes etiquetadas como tráfico de bots.

Cómo comprobar la identidad de un bot

Cequence recomienda validar la identidad mediante solicitudes firmadas, rangos de direcciones publicados por el proveedor o integraciones directas. También propone comprobar si la actividad del bot encaja con la función que declara. La rapidez de la rotación de infraestructura refuerza la utilidad de no depender únicamente de bloquear direcciones: el escáner utilizó más de 300 direcciones en un día y casi 400 en una semana.

La empresa recomienda, además, mantener las credenciales fuera de archivos accesibles desde la web y evitar que los entornos de pruebas y los sitios de administración estén expuestos públicamente.