Tu llave de OpenAI, Anthropic o Google puede estar pagando el ataque de otro
Bitsight documentó una plataforma criminal, MONST3R-AI, que ataca con llaves de API robadas de OpenAI, Anthropic y Google. El cargo del ataque llega a la empresa dueña de la llave, no al atacante.
Lo que dice el reporte de Bitsight sobre MONST3R-AI y cómo proteger tu empresa
Bitsight encontró una plataforma criminal, MONST3R-AI, que ataca con llaves de API robadas y carga el gasto a la cuenta de la víctima.
Una plataforma criminal llamada MONST3R-AI se vende en un foro cerrado de hackers y funciona con llaves de API robadas de OpenAI, Anthropic y Google: el comprador ataca con el modelo de inteligencia artificial que tu empresa ya paga cada mes, y la factura le llega a ti, no a él.
En resumen
Bitsight reportó, el 16 de octubre de 2026, que MONST3R-AI usa llaves robadas de OpenAI, Anthropic y Google para atacar y cobra la factura a la empresa dueña de la llave. Las menciones de agentes de IA y MCP en foros clandestinos subieron 67% entre febrero y agosto de 2026. La defensa: rotar la llave y poner tope de gasto.
- MONST3R-AI cobra la factura a la víctima, no al atacante
- Menciones de agentes de IA y MCP subieron 67% en foros clandestinos
- Rotar la llave y poner tope de gasto es la defensa inmediata
Qué es MONST3R-AI y cómo usa tu llave
MONST3R-AI se vende como una plataforma de pruebas de penetración automatizada en un foro criminal restringido, según el reporte de Help Net Security publicado el 16 de octubre de 2026 a partir de la investigación de Bitsight. El comprador pega en un panel una llave robada de OpenAI, Anthropic o Google, fija un tope de gasto y apunta al agente contra una lista de objetivos. El vendedor no tiene modelo propio: usa el de la víctima, lo que de paso le permite evadir el entrenamiento de seguridad del proveedor.
Esto no es un experimento de laboratorio ni un lanzamiento oficial de nadie: es una herramienta criminal que, según Bitsight, ya está en venta activa dentro de un foro clandestino. El vendedor aseguró haber obtenido 1,072 hallazgos en 199 hosts escaneados, pero esa cifra sale del propio tablero del vendedor y Bitsight no pudo verificarla.
Un dato que no se puede confirmar, y por qué importa igual
Bitsight aclara que no puede verificar los 1,072 hallazgos ni los 199 hosts que presume el vendedor de MONST3R-AI. Pero su posición es que incluso un porcentaje pequeño de hallazgos reales ya haría rentable la herramienta, y espera que más llaves robadas se vendan específicamente para alimentar escáneres como este.
Las cifras del reporte de Bitsight
Bitsight analizó miles de publicaciones en 16 foros clandestinos entre febrero y agosto de 2026 para medir cómo cambió el lenguaje del cibercrimen. La conclusión es clara: el crimen habla cada vez más de inteligencia artificial y cada vez menos de ransomware.
| Tema en los foros | Cambio feb.–ago. 2026 |
|---|---|
| Agentes de IA, inyección de prompt y MCP | +67% |
| Jailbreaking (saltarse las reglas del modelo) | ≈+75% |
| Discusión general sobre IA | +45% |
| Ransomware | -49% |
| Phishing | -8.5% |
| Chatbots criminales de marca (WormGPT, FraudGPT) | -8.7% |
Lo que cuesta un token oficial frente a lo que paga el revendedor
Bitsight documentó que el revendedor CloseRouter anunciaba modelos de código abierto y comerciales a cerca de diez centavos de dólar por millón de tokens, con una lista de precios de GLM muy por debajo del precio oficial de esa API. La brecha explica por qué una llave robada de un proveedor con entrenamiento de seguridad real —como OpenAI, Anthropic o Google— vale tanto en estos foros.
¿Cuánto te costaría si tu llave cae en MONST3R-AI?
Ajusta cuántos millones de tokens podría consumir un atacante con tu llave antes de que lo notes, y compara el precio oficial contra lo que paga quien revende acceso robado.
Cifras de ejemplo tomadas del reporte de Bitsight sobre la lista de precios de GLM en el revendedor CloseRouter (precio oficial frente a oferta clandestina). No son el precio de OpenAI, Anthropic o Google, pero ilustran la diferencia entre lo que cuesta un token legítimo y lo que paga quien revende acceso robado.
Por qué el crimen dejó el ransomware por la IA
El jailbreaking —lograr que un modelo ignore sus reglas de seguridad— sigue siendo el tema más hablado en estos foros, y creció cerca de tres cuartas partes en el periodo estudiado. Lo más relevante, según Bitsight, es hacia dónde se mueven los actores con más habilidad: las menciones de modelos de pesos abiertos como GLM y DeepSeek subieron con fuerza, porque cualquiera puede descargarlos y correrlos en servidores rentados donde ningún proveedor revisa solicitudes, guarda registros ni cierra cuentas. En foros de habla china y rusa algunos miembros incluso le quitan el comportamiento de seguridad al modelo con una técnica llamada abliteration.
Las menciones de vibe coding más que se duplicaron en el mismo periodo, aunque Bitsight señala que en los círculos más técnicos la frase se usa como insulto, dirigido a quien depende de la IA sin entender el código que produce. Mientras el interés por la IA crecía 45%, las menciones de ransomware cayeron 49% y las de phishing 8.5%; chatbots criminales de marca como WormGPT y FraudGPT bajaron 8.7%, en línea con la caída del phishing. WormGPT, de hecho, sufrió antes en 2026 una brecha que expuso los correos, datos de pago y niveles de suscripción de unos 19,000 usuarios.
Los dos riesgos: llave robada y plugin falso
El reporte de Bitsight expone dos tipos de víctima distintos. Una empresa que filtra la llave de un proveedor de IA termina pagando ataques contra los sistemas de otras personas. Y un equipo de ingeniería que instala plugins de agentes desde registros públicos puede terminar instalando malware disfrazado de herramienta útil.
Bitsight documentó la campaña FakeGit, atribuida al actor Water Kurita, con cerca de 7,600 repositorios fraudulentos en GitHub que distribuían el malware SmartLoader; más de 800 se presentaban como habilidades de IA o servidores MCP, incluido un falso Docker MCP Gateway, para lograr que los registros públicos de IA los indexaran. En otras publicaciones, un actor mostró un agente usando el desensamblador IDA Pro para encontrar un desbordamiento de búfer y redactar un plan de explotación, y otro usó un agente de automatización de navegador para vulnerar una cuenta empresarial de Notion.
El plugin que instalaste puede ser el ataque
Más de 800 de los repositorios falsos de la campaña FakeGit se disfrazaron de habilidades de IA o servidores MCP, incluida una copia del Docker MCP Gateway. Instalar un plugin de agente o un servidor MCP sin verificar su origen puede abrir la puerta al mismo tipo de malware que distribuye esa campaña.
Cómo proteger tus llaves hoy
Bitsight resume sus recomendaciones en cuatro puntos concretos, pensados para que una llave de API se trate con la misma seriedad que cualquier otra credencial crítica de la empresa.
Escanea y rota llaves expuestas
Busca llaves de proveedores de IA expuestas en repositorios, apps o código y trátalas con la misma urgencia que una credencial de AWS filtrada.
Verifica el origen de cada plugin o servidor MCP
No instales agentes de IA ni servidores MCP solo porque aparecen en un registro público; confirma quién los publicó antes de conectarlos a tus sistemas.
Bloquea a los agentes de carpetas y comandos sensibles
Los agentes de código locales no deberían tocar directorios sensibles ni ejecutar comandos de shell sin aprobación humana explícita.
Establece una línea base de logins humanos
Mide el ritmo normal de inicios de sesión humanos en Notion, Slack y GitHub: un agente que opera un navegador trabaja a un ritmo distinto y detectable.
Qué significa esto para México y Latinoamérica
Cualquier negocio en México o Latinoamérica que integre OpenAI, Anthropic o Google en una automatización puede tener una llave expuesta sin saberlo. Una agencia que conecta n8n o Zapier con una de estas APIs y guarda la llave en un repositorio de código, una tienda en línea que llama al modelo desde el frontend para generar descripciones de producto, un equipo de soporte que une WhatsApp Business API con un asistente de IA, o un SaaS que embebe la llave en una app del lado del cliente, están en el mismo punto de riesgo que describe Bitsight: si la llave se filtra, el cargo de los ataques de otros llega a su cuenta, no a la del atacante.
El riesgo no es solo el gasto inesperado en la factura del proveedor. Una empresa cuya llave financió un ataque contra terceros puede enfrentar la suspensión de su cuenta por parte de OpenAI, Anthropic o Google mientras investigan el abuso, justo cuando esa integración sostiene la atención a clientes o el cobro en línea.
¿Qué es MONST3R-AI?
MONST3R-AI es una plataforma de pruebas de penetración automatizada que se vende en un foro criminal restringido y que ataca usando llaves de API robadas de OpenAI, Anthropic y Google, según el reporte de Bitsight publicado el 16 de octubre de 2026.
¿Quién paga el ataque si roban mi llave de API?
Tú pagas. MONST3R-AI no tiene modelo propio: usa el modelo de la llave robada, así que el cargo por el uso llega a la cuenta de la empresa dueña de esa llave, no a la del atacante.
¿MONST3R-AI ya está disponible para cualquiera?
No es un producto público. Bitsight lo encontró en venta dentro de un foro clandestino restringido, como parte de un monitoreo de 16 foros entre febrero y agosto de 2026, no como un lanzamiento comercial abierto.
¿Cómo sé si mi llave de API de OpenAI, Anthropic o Google está expuesta?
Revisa repositorios de código, apps y automatizaciones en busca de llaves escritas directamente en el código, y trata cualquier hallazgo con la misma urgencia que una credencial de AWS filtrada, siguiendo la recomendación de Bitsight.
¿Qué hago si ya filtré una llave de API?
Rótala de inmediato desde el panel del proveedor, pon un tope de gasto si no lo tenías y revisa el historial de uso para detectar consumo anómalo antes de que llegue la factura.
¿Son seguros los servidores MCP y los plugins de agentes que descargo de registros públicos?
No todos. Bitsight documentó la campaña FakeGit, con cerca de 7,600 repositorios falsos en GitHub, más de 800 disfrazados de habilidades de IA o servidores MCP, incluida una copia falsa del Docker MCP Gateway.
Fuentes
Blinda las llaves de tu infraestructura de IA
En Zadrig Technology revisamos tus integraciones con OpenAI, Anthropic y Google, rotamos y aseguramos tus llaves, y ponemos topes de gasto antes de que una filtración se convierta en una factura ajena. Agenda una demostración y revisamos juntos tu exposición.
Escríbenos por WhatsApp
