Ataque Agente: Cómo Resiste el Equipo de Ingeniería de Prelude

Christos Panagiotakopoulos, Engineering Manager en Prelude, analiza qué significan realmente los incidentes de Anthropic y OpenAI para la detección de fraude, y cómo Prelude utiliza sus propios agentes para contraatacar.

Los dos incidentes que abrieron el debate: lo que OpenAI y Anthropic demostraron sin querer

A finales de julio de 2026, dos de los laboratorios de IA más importantes revelaron que sus propios modelos habían vulnerado infraestructuras reales durante unas evaluaciones controladas.

Los modelos de OpenAI escaparon de un entorno de sandbox y llegaron a los sistemas de producción de Hugging Face. Días después, Anthropic reveló que tres de sus modelos Claude habían vulnerado por separado a tres organizaciones durante unas pruebas realizadas por un socio de seguridad externo.

Los puntos de entrada en ambos casos fueron de lo más común: contraseñas débiles, puertos de depuración sin autenticar, inyecciones SQL básicas. "La mayoría de los problemas de ciberdefensa actuales no tienen que ver con vulnerabilidades exóticas o de día cero", afirma Christos Panagiotakopoulos, Engineering Manager de Prelude. "Es más bien que diseñas un sistema esperando haber cubierto toda la superficie de ataque y, a veces, te dejas una pequeña puerta abierta; esa es la puerta que van a aprovechar".

La diferencia real es la velocidad, no la sofisticación

Los agentes de IA no son más capaces que un atacante humano experimentado. Christos es directo al respecto: "No es que los agentes puedan hacer mucho más que los humanos. Es que pueden hacer lo mismo, o peor, pero mucho más rápido".

Antes de la llegada de los agentes, un defraudador probaba un sistema manualmente: intentaba algo, fallaba, iteraba, volvía a fallar, iteraba de nuevo y, finalmente, encontraba una brecha. En Prelude parcheábamos el fallo y el atacante tenía que volver a empezar de cero. El ciclo tenía un límite de velocidad natural marcado por el tiempo y la atención humana.

Los agentes rompen ese límite. Un solo atacante ahora puede ejecutar 10, 20 o 30 agentes a la vez, cada uno de ellos explorando una parte distinta del sistema en paralelo. 

Los datos lo confirman: en Prelude hemos visto cómo el comportamiento automatizado en las aplicaciones de nuestros clientes ha crecido de forma exponencial en comparación con años anteriores.

Qué ve Prelude cuando aparece un agente

Cuando un agente llega a un flujo de inicio de sesión o de verificación OTP, las señales son distintas a las de una sesión humana, aunque no siempre de forma obvia.

El indicio más claro está en el propio navegador. Un humano no utiliza un sistema de la misma forma que lo haría un agente. Para ejecutar las acciones, suele haber software ejecutándose sobre el proceso del navegador, lo que deja huellas de automatización que nuestros SDK en Prelude detectan con un alto nivel de confianza.

Sin embargo, la señal más importante no es la sesión individual, sino el patrón global de todas las sesiones.

"No se trata de analizar el comportamiento de un caso concreto, sino de ver qué ocurre en la totalidad del tráfico", explica Christos, "porque cuando hay un intento de ataque automatizado, casi siempre llega en enjambre y no como un único intento aislado".

En Prelude no evaluamos las solicitudes de verificación de forma aislada. Observamos el estado completo del tráfico de la aplicación del cliente y hacemos predicciones sobre esa vista global, lo que nos permite detectar ataques en enjambre incluso cuando las sesiones individuales parecen limpias.

El caso del fraude por SMS Pumping

La detección del SMS pumping se basa tradicionalmente en tres señales: velocidad de las solicitudes, rangos de números secuenciales y tasas de envío frente a verificación. Un defraudador que consiga mantenerse por debajo de estos tres límites a la vez puede pasar desapercibido. 

Christos confirma que un agente puede explotar esto de la misma manera, pero mucho más rápido.

"Un agente puede aprender mucho más rápido", señala Christos. "Pueden probar soluciones a gran velocidad y encontrar una vía de entrada en tiempo récord".

Según Christos, en lugar de limitarse a cerrar la puerta, la mejor solución es hacer que esa puerta sea más difícil de encontrar. En otras palabras, la clave no es tapar la vulnerabilidad una vez descubierta, sino dificultar su hallazgo desde el primer momento.

Una de las técnicas que usamos en Prelude es la ofuscación, dificultando que el agente entienda qué está evaluando el sistema exactamente. Cuanto más difícil sea leer las señales, más intentos necesitará el agente para descifrar las reglas, y más costoso resultará el ataque.

Christos describe una forma directa de medir ese coste: "En lugar de medir la facilidad con la que se puede vulnerar el sistema, mides cuánto dinero cuesta encontrar esa vulnerabilidad". Si un atacante necesita gastar 100 000 € para encontrar una brecha, el grupo de personas con capital suficiente para lanzar ese ataque se reduce drásticamente.

En Prelude aplicamos este mismo principio a nuestras defensas: evaluamos constantemente nuestros SDK haciendo que agentes internos intenten saltárselos, midiendo tanto el tiempo como el coste. "Es una de las métricas clave que monitorizamos", afirma Christos.

El reto de la fase previa al envío

El objetivo con el SMS pumping, y con la detección de fraude en general, es bloquear el tráfico antes de que se envíe el SMS o de que se cree la cuenta. Para lograrlo, hay que tomar una decisión precisa con muy pocos datos disponibles.

"Cuando un usuario entra por primera vez a tu web, no sabes quién es", explica Christos. "Solo conoces algunos datos de su dispositivo. Tienes una ventana de tiempo muy corta para recopilar señales de comportamiento".

Los agentes complican esto. Con un humano, las señales de comportamiento se van acumulando a lo largo de la sesión; con un agente, esas señales son mínimas o inexistentes. "No es fácil identificar a simple vista que ese usuario no es humano", comenta Christos. "Solo puedes basar tu decisión en métricas del dispositivo o en huellas de red".

Esa limitación es precisamente la razón por la que la ruta de red es tan crucial.

La señal que los agentes no pueden falsificar

A medida que los agentes se vuelven más hábiles imitando los parámetros de los dispositivos, en Prelude hemos centrado nuestra atención en señales que son mucho más difíciles de falsificar: la ruta de red.

"No nos limitamos a analizar el dispositivo en el que se ejecuta el agente. También analizamos la ruta de red que utiliza para conectarse a Prelude".

Los parámetros que reporta un dispositivo se pueden simular, pero la línea de red utilizada para la conexión no se puede cambiar tan fácilmente. Un atacante puede usar proxies o VPN para ocultarse, pero esas técnicas también son detectables mediante el análisis de huella digital de Prelude.

Al final, el agente se ve obligado a revelar su origen de red real o a dejar en evidencia que está intentando anonimizar su conexión. Ambas cosas son señales claras.

Combatir agentes con agentes

En Prelude no solo nos defendemos de los agentes externos; también los entrenamos en casa. 

Christos señala que Prelude utiliza actualmente agentes de IA internos para analizar el tráfico, identificar fraudes que pasaron desapercibidos en primera instancia y proponer reglas de forma proactiva para que un humano las revise, una evolución necesaria dado el enorme volumen de pruebas automatizadas que se producen a diario. 

"Tenemos un agente en Prelude que analiza específicamente el tráfico para encontrar fraudes que no detectamos a la primera, y propone reglas proactivas que luego un humano puede revisar para bloquear ese tipo de tráfico".

No se trata de un modelo de machine learning que simplemente genera puntuaciones. Es un agente que interpreta patrones de tráfico, identifica fallos que esquivaron las reglas existentes y crea nuevas reglas de bloqueo.

La razón de su existencia es la misma por la que el fraude automatizado se ha vuelto tan difícil de detener: la escala.

Antes de la IA, explica Christos, podías tener a 10 humanos intentando vulnerar un sistema a la vez. "Ahora puedes tener miles, decenas de miles o cientos de miles de agentes atacando tu sistema en tiempo real todos los días. Necesitas poder iterar a la misma velocidad".

Las reglas estáticas ya no sirven. Un agente que lee el tráfico de forma continua y propone nuevas reglas sí marca la diferencia.

Cambiar las tornas: el agente en manos del cliente

Estamos llevando esta misma tecnología a nuestros clientes bajo el mismo principio: no se trata de predecir cada ataque con antelación, sino de detectarlo y bloquearlo minutos después de su aparición, antes de que cause un impacto financiero real.

El objetivo es permitir que los clientes interactúen directamente con un agente que tiene una visión clara de su propio tráfico. Si un cliente detecta un pico de actividad sospechoso en un país concreto, puede pedirle al agente que analice ese tráfico, determine si es fraudulento y genere los patrones necesarios para bloquearlo.

"El fraude no se ve igual en un banco que en una aplicación de citas", explica Christos. "Por eso queremos dar a nuestros clientes la capacidad de personalizar sus sistemas antifraude, permitiéndoles generar sus propias reglas según su tipo de tráfico".

Además, en Prelude estamos desarrollando un sistema de alertas completo: cuando un evento de tráfico sospechoso active una alerta, el cliente podrá marcarlo y ordenar al agente que localice el patrón y genere la regla de bloqueo en un solo paso.

Los agentes aceleran los ataques de la misma forma que aceleran la detección. La clave es quién se mueve más rápido.

"Siempre estamos mejorando el sistema. Constantemente surgen nuevos patrones y los atacantes siempre buscarán cómo saltarse las reglas, pero nuestro objetivo es la detección temprana y aplicar soluciones en cuestión de minutos."

Ningún sistema es capaz de predecir todos los ataques de antemano. Lo que define a un sistema excelente es la velocidad con la que responde cuando aparece una nueva amenaza.

Este artículo forma parte de la serie del blog de ingeniería de Prelude, donde el equipo comparte cómo se construye nuestro producto. Lee más en el blog o empieza a usar Prelude.

Christos Panagiotakopoulos es Engineering Manager en Prelude, donde lidera la ingeniería y dirección técnica de los productos de verificación y prevención del fraude. Diseñó el producto Auth de Prelude y la API v2 de la compañía, sobre los cuales se asienta la plataforma actual, y ha desarrollado gran parte de la infraestructura de enrutamiento de mensajes, detección de fraude y datos. Pasó a liderar el equipo de ingeniería sin alejarse del código, el cual sigue escribiendo y revisando a diario. Antes de incorporarse a Prelude, trabajó en BeReal, donde desarrolló servicios backend en Go y Node.js capaces de gestionar más de un millón de solicitudes por segundo cuando la notificación diaria conectaba a todos los usuarios de forma simultánea en la misma ventana de dos minutos.