Aurora, un grupo de ransomware de habla rusa, usó entre abril y julio de 2026 Cursor, el popular asistente de programación que SpaceX adquirió hace poco, como apoyo directo en intrusiones reales. Eso es lo que plantea una investigación de Gambit Security y CloudSEK. Lo que describen va bastante más allá de pedirle código a una IA: Cursor habría servido para guiar pasos clave del ataque, desde el reconocimiento inicial hasta la ejecución de comandos dentro de redes ya comprometidas. La conclusión conecta con una inquietud que en ciberseguridad lleva tiempo creciendo: estos asistentes están dejando de ser simples herramientas de productividad y se están convirtiendo en un multiplicador muy concreto para operadores maliciosos que quieren moverse más rápido y con menos conocimientos técnicos.
Los analistas de Gambit Security y CloudSEK sostienen que Aurora explotó Cursor durante operaciones de ransomware para tareas prácticas, de las que normalmente hace un intruso humano mientras recorre, prueba y exprime una red. En su reconstrucción del caso, Cursor se habría usado para escaneo de red, robo de credenciales, movimiento lateral y orientación a la hora de ejecutar comandos. Más que como creador del malware, habría funcionado como un asistente interactivo. La mecánica que describen se parece bastante a la de un atacante junior con un ingeniero senior disponible todo el tiempo: el operador marcaba un objetivo general, Cursor proponía los siguientes pasos y, cuando un comando fallaba, ofrecía alternativas para seguir avanzando.
Todo parte de un servidor expuesto de un afiliado de Aurora. A partir de ese material, Gambit Security y CloudSEK vincularon actividad registrada entre abril y julio de 2026 con ataques contra más de 20 organizaciones en al menos nueve países, entre ellos Estados Unidos, Bélgica, Alemania, Escocia, Italia y Argentina. El informe no dice que Cursor levantara por sí solo las campañas. Lo presenta, más bien, como una pieza operativa útil en distintas fases del acceso y la explotación, capaz de sostener el ritmo de las intrusiones y de resolver problemas sobre la marcha sin depender tanto de especialistas veteranos.
Ahí aparece uno de los aspectos más delicados del caso. Según la investigación de Gambit Security y CloudSEK, los operadores habrían conseguido esquivar parte de las salvaguardas integradas en Cursor. Para hacerlo, presentaban acciones maliciosas como si fueran ejercicios de pruebas de penetración o simulaciones defensivas, un truco conocido que puede empujar a estos asistentes a recomendar pasos peligrosos. Ese detalle pesa porque deja ver que los controles actuales todavía pueden quedarse cortos cuando alguien manipula con cuidado el contexto de la petición.
Los expertos citados por Gambit Security y CloudSEK calculan que la ayuda de Cursor hizo a Aurora entre un 30 % y un 50 % más rápido. También redujo la barrera de entrada al actuar como un consultor de explotación siempre disponible. Para el sector, el caso funciona como una prueba concreta de que estas plataformas ya están entrando en todo el ciclo del ataque. Y eso trae una doble presión: por un lado, obliga a los proveedores a endurecer sus controles; por otro, mete más urgencia a las empresas para adoptar defensas automatizadas capaces de responder a adversarios que ahora pueden aprender, adaptarse y escalar a mucha más velocidad.
