Un grupo de hackers presuntamente vinculado a Kazajistán utilizó un agente de inteligencia artificial para apoyar operaciones de espionaje contra gobiernos de Asia Central, incluido el robo de documentos confidenciales y la infiltración en redes de infraestructura crítica, según una nueva investigación.
La operación fue descubierta por CloudSEK, una empresa de ciberseguridad con sede en Singapur, tras localizar un servidor expuesto atribuido a Silent Lynx, un grupo previamente relacionado con campañas de espionaje dirigidas a Kirguistán, Turkmenistán, Tayikistán, Armenia, Bielorrusia y Rusia.
El servidor contenía más de una docena de gigabytes de datos, entre ellos documentos gubernamentales robados, herramientas de hackeo y registros que muestran cómo un operador empleó un agente de IA para automatizar partes de la operación. En un informe publicado el 11.11.2026, CloudSEK señaló que el operador recurrió a Hermes, un agente de IA de código abierto configurado para actuar como un experto en ciberseguridad ofensiva. El sistema utilizaba principalmente modelos de IA desarrollados por la empresa china DeepSeek. A diferencia de los chatbots convencionales, los agentes de IA pueden ejecutar comandos, correr software y realizar tareas en nombre de sus usuarios.
Según los investigadores, el agente ayudó con el reconocimiento, la recopilación de datos y el borrado de rastros de actividad en los sistemas comprometidos. Además, estaba configurado para ejecutar ciertos comandos potencialmente destructivos sin requerir aprobación adicional. El operador se comunicaba con el agente en ruso y lo conectó a un bot de Telegram, lo que le permitía enviar instrucciones de forma remota desde un teléfono.
Redes gubernamentales comprometidas
Una de las intrusiones más significativas del grupo tuvo como objetivo Tayikistán, donde los hackers mantuvieron un amplio acceso a la red ferroviaria nacional desde al menos mediados de agosto hasta principios de octubre. Tras penetrar la red, los atacantes accedieron a varios servidores, extrajeron bases de datos con credenciales de acceso y robaron documentos internos e informes operativos.
El acceso fue mucho más allá del ferrocarril. Con las credenciales de un solo empleado ferroviario, los atacantes iniciaron sesión en la plataforma nacional de gestión electrónica de documentos de Tayikistán, que los ministerios y organismos gubernamentales utilizan para intercambiar correspondencia oficial. El grupo desarrolló herramientas automatizadas para descargar grandes cantidades de archivos, entre ellos miles de documentos enviados al Ministerio de Defensa de Tayikistán o procesados por este en 2026.
El material robado también incluía correspondencia asociada a la Guardia Nacional, al Comité Estatal de Seguridad Nacional y al Comité Estatal de Inversiones, así como información sobre más de 100 organizaciones gubernamentales y sus empleados.
CloudSEK también halló evidencia de que el grupo había comprometido un servidor que daba soporte a la iniciativa Smart Forestry de Uzbekistán, una plataforma gubernamental utilizada para monitorear y gestionar los recursos forestales.
Además, el servidor expuesto contenía archivos maliciosos disfrazados de documentos oficiales de Turkmenistán, incluidos un billete de tren y un informe de un gobierno regional. Los archivos fueron creados y probados en octubre, lo que sugiere que el grupo preparaba otra campaña de phishing. Los investigadores no pudieron determinar si los ataques contra Turkmenistán llegaron a tener éxito.
CloudSEK evaluó con confianza media que Silent Lynx tiene vínculos con Kazajistán, citando comunicaciones en ruso y conexiones de prueba originadas en un proveedor de internet residencial del país. Estos hallazgos respaldan evaluaciones anteriores de otros investigadores de ciberseguridad que situaban al grupo probablemente en Kazajistán, aunque no establecen ninguna conexión con el gobierno kazajo.
Silent Lynx, también rastreado bajo los nombres Cavalry Werewolf y YoroTrooper, está activo desde al menos 2022 y ha atacado previamente a agencias gubernamentales, organizaciones diplomáticas y otras instituciones en Asia Central, Rusia y Europa. En octubre de 2025, el grupo lanzó una campaña de ciberespionaje de varios meses contra agencias gubernamentales y empresas industriales rusas, utilizando correos electrónicos de phishing disfrazados de correspondencia del gobierno kirguís.