Acepté el reto.
Ahora, ayudemos a arreglarlo.
El creador de XBI Panel publicó en internet un desafío: hackear su panel de hosting construido con IA, repartiendo licencias demo. Me causó muchísima gracia, acepté… y entre 20 y 30 minutos después tenía control del servidor y de sus bases de datos. No eliminé absolutamente nada. Este es el video, la historia y una invitación abierta.
$ curl xbipanel.com --reto-publico
→ «Hackeen mi panel de hosting hecho con IA. Licencias demo arriba.»
$ aceptar_reto --con-gusto
→ accediendo… 20–30 minutos… control del servidor y bases de datos ✔
→ copia de respaldo extraída como evidencia (privada, nunca publicada) ✔
$ rm -rf ./daños
rm: no se eliminó ni modificó ABSOLUTAMENTE nada
$ siguiente_paso
→ divulgación responsable: video de 17 min + invitación a hablar
$
20–30
minutos del reto al control del servidor
0
archivos eliminados o modificados
0
datos de clientes publicados
17
minutos de video explicando todo
La historia, en cuatro pasos
Lo que pasó, tal cual, sin exagerar y sin explotar nada.
- El reto
Un panel hecho con IA y un desafío público
El creador de XBI Panel compartió su proyecto —un panel de control de hosting completo, construido con Claude— y retó a la comunidad a hackearlo, regalando licencias demo para que cualquiera probara.
- Minutos 0–30
La prueba: me senté a jugar
Acepté el reto con la mejor vibra. Entre 20 y 30 minutos después tenía control sobre el servidor y sus bases de datos, e incluso extraje una copia de respaldo como evidencia de que se podía. Ese fue el momento de dejar de jugar.
- Después
Lo que NO hice
No eliminé ni modifiqué absolutamente nada. No publiqué, compartí ni venderé dato alguno de clientes. La copia y el reporte técnico completo se mantienen en privado, a disposición del equipo de XBI.
- Hoy
La invitación
Grabé un video de 17 minutos explicando de forma general qué ocurrió, y publico esta página con un mensaje simple: hablemos. Me encantaría ayudarlos a securizar la aplicación.
¿Quién es XBI Panel?
Capturas directas de sus sitios oficiales, para que sepas exactamente a quién nos referimos en esta historia. Haz clic para ampliar.
xbipanel.com — la landing
Su página oficial: «El panel de control de hosting para la era de la IA», el producto desde el que salió el reto público.
clientes.xbi.es — el área de clientes
Su área de clientes y licencias, desde donde se entregaban las licencias demo del reto.
Mi código de honor en esta prueba
Ser buen profesional de seguridad no es entrar: es lo que haces —y lo que te niegas a hacer— después de entrar.
Nada eliminado
No borré, cifré ni modifiqué un solo archivo. Eso hacen los ransomware; la seguridad profesional remedia, no destruye.
Nada publicado
Los datos jamás salieron a la luz: ni foros, ni pastebin, ni ventas. Siguen siendo exactamente de quienes son.
Nada retenido
El acceso obtenido no se reutilizó ni se compartió. El reporte técnico completo se entrega en privado, solo al equipo de XBI.
Cero burla
Construir un panel de hosting completo es un logro enorme. Esta página no es una humillación: es una llamada de atención con respeto.
La copia de respaldo extraída existe únicamente como evidencia del hallazgo y será devuelta o destruida cuando el equipo de XBI Panel lo solicite.
La evidencia del recorrido
Tres capturas reales del acceso, tal cual fueron tomadas y sin nada que ocultar: no exponen datos de clientes ni credenciales. Haz clic en cada una para verla en grande.
Dentro del panel de administración
La consola de administración del panel recorriendo los nodos gestionados del hosting.
Explorador de archivos del servidor
El gestor de archivos navegando la raíz del servidor: /root, /etc, /var, /home…
Consola root del nodo
Una shell como root en un nodo en producción, con las copias de respaldo a la vista.
Capturas publicadas tal cual, verificadas: sin datos de clientes ni credenciales legibles. El reporte técnico completo, con todo el detalle, se entrega en privado al equipo de XBI Panel.
El video: 17 minutos, sin drama y sin explotar nada
Grabado en vertical desde el teléfono: qué encontré, cómo lo vi en general y por qué lo importante no es el hack, sino lo que viene después.
De forma deliberada, el video no incluye detalles técnicos explotables: el informe completo —con evidencia y plan de remediación— se entrega en privado al equipo de XBI Panel.
Una carta abierta para el equipo de XBI Panel
Hola. Antes que nada, felicitaciones de verdad. Construir un panel de control de hosting completo —API, agente, tienda, correo, bases de datos, decenas de instaladores de CMS— es algo que la mayoría de equipos nunca logra. Y usar IA para acelerar el desarrollo no es una debilidad: es el presente de esta industria.
Lo que pasó no significa que tu producto sea malo. Significa que el código que administra servidores, correo y datos de terceros necesita revisión de seguridad humana y pruebas adversarias antes de exponerse a internet… y mucho antes de invitar a internet a probarlo. De hecho, tu propio paquete ya incluía auditorías de seguridad con hallazgos documentados: la conciencia existía; faltaba cerrar los pendientes antes del reto.
Esta vez fue alguien que no borró nada, no publicó nada y solo quiere ayudar. La próxima vez —y con un reto público, la habrá— quizá no sea así. Escríbeme: el reporte completo es tuyo, sin costo y sin compromisos. Y si quieres, armamos juntos el plan de remediación.
— Jesús, Soporte Server
Tres lecciones para quien construye con IA
Lo que esta historia deja para la comunidad, más allá del reto.
01
La IA codea, tú respondes
La IA genera código a una velocidad increíble, pero no asume la responsabilidad. Audita y prueba adversarialmente todo lo que toque infraestructura o datos de terceros antes de lanzarlo.
02
Un panel es la llave maestra
Un panel de hosting concentra servidor, correo, DNS y bases de datos de todos tus clientes: un solo fallo crítico los compromete a todos a la vez. La seguridad no es un módulo; es el cimiento.
03
Reto público ≠ estrategia de seguridad
Invitar a internet a hackear tu producto sin pentesting previo ni canal de divulgación responsable es dejar la puerta abierta y confiar en la educación ajena. Esta vez hubo suerte. Que no sea el plan.
¿Listo para Optimizar tu Infraestructura?
Nuestro equipo especializado está preparado para analizar tus necesidades y proponer la mejor solución para tu empresa. Primera consulta totalmente gratuita.