CARBONATO: la botnet que instala un agente de IA en tus servidores Docker expuestos para robar claves de LLM

ThreatDown (Malwarebytes) documentó una botnet que no lleva un script fijo: instala un agente de IA completo en cada servidor Docker mal configurado y le ordena, por Telegram, buscar claves de API de modelos de lenguaje. La puerta de entrada es vieja; lo nuevo es lo que se queda adentro.

Qué es CARBONATO y cómo lo encontraron

Según BleepingComputer, The Hacker News y Security Affairs, los investigadores de ThreatDown dieron con CARBONATO al encontrar un registro de contenedores Docker sin autenticación, abierto a internet. Contenía unos 60 repositorios (59 según Security Affairs) y 4,3 GB de imágenes, con evidencia operativa que va de octubre de 2024 a agosto de 2026. La campaña se hizo pública a finales de septiembre de 2026.

ThreatDown no pudo vincularla con ningún grupo conocido. Varios indicios apuntan a Costa Rica como ubicación posible de los operadores: marcas de tiempo UTC-06:00, un usuario de Telegram cuyo nombre incluye 506, el prefijo telefónico de Costa Rica e infraestructura en una red costarricense. Son indicios, no una atribución firme.

Cómo funciona: del puerto 2375 al agente

El vector de entrada es clásico: demonios Docker con la API expuesta sin autenticación en el puerto 2375. Una vez dentro, el malware:

Aquí está la diferencia con una botnet tradicional. Los atacantes sobrescribieron el archivo de personalidad del agente (SOUL.md) con un prompt de unas 39 líneas que lo convierte en "GH0ST", un supuesto hacker senior que obedece las órdenes del operador recibidas por Telegram, sin restricciones éticas. En palabras de los investigadores, el modelo interpreta la tarea, escribe comandos de terminal, lee la salida y decide qué hacer después.

El objetivo: claves de API de LLM

Según Security Affairs, el agente tiene instrucciones de priorizar las claves de 14 proveedores y herramientas de LLM (OpenAI, Anthropic, Google, OpenRouter, Together, Groq, Mistral, Cohere, Ollama, vLLM, LiteLLM, entre otros) por encima de credenciales SSH o tokens. Los operadores usarían esas claves para alimentar su propia pasarela de LLM: ThreatDown encontró una operativa al 3 de septiembre de 2026, en un plan gratuito, que servía 27 modelos aunque anunciaba 12.

Qué cambia cuando el malware lleva un agente de IA

Un script de botnet hace lo que su autor programó. Un agente con acceso a terminal puede adaptarse al entorno: leer el sistema, improvisar comandos y decidir qué credenciales valen la pena. Eso no vuelve la intrusión más sofisticada en su entrada (sigue siendo un puerto abierto), pero sí hace más difícil predecir qué hará después. La defensa, en cambio, sigue siendo la misma de siempre.