La Guerra de las IAs: cuando una inteligencia artificial ataca a otra

En septiembre de 2025, un equipo de analistas de Anthropic detectó un patrón extraño en el uso de Claude Code, su asistente de programación agéntico: miles de solicitudes por segundo, un ritmo que ningún operador humano podía sostener. Lo que encontraron, según su propio informe forense, fue un grupo respaldado por el estado chino, catalogado internamente como GTG-1002, que había convertido a la IA en el operador principal de una campaña de espionaje. No en un asesor. En el ejecutor. Los humanos elegían los objetivos y aprobaban decisiones críticas; la IA se encargaba de todo lo demás: reconocimiento, desarrollo de exploits, robo de credenciales, movimiento lateral y exfiltración. Anthropic calcula que el sistema ejecutó entre el 80% y el 90% de las tareas tácticas de forma autónoma, atacando a unas treinta organizaciones tecnológicas, financieras, químicas y gubernamentales (https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf).

Fue, según la propia compañía, el primer caso documentado de un ciberataque a gran escala ejecutado sin intervención humana sustancial.

La pregunta que dominaba las conferencias de seguridad hace dos años ¿puede una IA hackear a un humano?, ha sido reemplazada por otra, más incómoda: ¿qué pasa cuando una IA ataca a otra IA, a la velocidad de la máquina, sin ningún humano de por medio?

El atacante que ya no necesita dormir

Para entender la magnitud del cambio conviene mirar los números duros. El Global Threat Report 2026 de CrowdStrike, construido sobre inteligencia de primera línea recogida durante cientos de investigaciones de respuesta a incidentes, documenta que las operaciones de adversarios potenciados por IA crecieron un 89% interanual, y que el tiempo medio de “breakout” (el intervalo entre el compromiso inicial y el movimiento lateral) cayó a apenas 29 minutos en 2025, frente a los 48 minutos de 2024. El caso más extremo tardó 27 segundos. En una intrusión concreta, la exfiltración de datos comenzó cuatro minutos después del acceso inicial (https://www.crowdstrike.com/en-us/global-threat-report/).

Ese dato de los 29 minutos es la nueva línea de base contra la que se mide cualquier estrategia defensiva. No es una velocidad “más rápida”. Es una velocidad de un orden de magnitud distinto al que los equipos de seguridad humanos están capacitados para operar. El mismo informe señala que el 42% de las vulnerabilidades explotadas en 2025 lo fueron antes de su divulgación pública, y que el 82% de las detecciones no involucraron malware tradicional: los atacantes usan credenciales legítimas, herramientas administrativas nativas y accesos de confianza, exactamente el tipo de reconocimiento sigiloso y adaptativo en el que un agente de IA sobresale.

Los agentes de IA pueden automatizar etapas enteras de una intrusión, desde el reconocimiento inicial hasta el movimiento lateral y la exfiltración de datos.

El Google Threat Intelligence Group (GTIG), que combina telemetría de Gemini con las investigaciones forenses de Mandiant, documentó en mayo de 2026 lo que describe como el primer caso confirmado de un exploit de día cero desarrollado con asistencia de IA usado en explotación activa: un actor malicioso empleó un modelo para diseñar y armar un exploit contra un sistema de administración web de código abierto, evadiendo su autenticación de dos factores. El código analizado mostraba patrones característicos de generación por modelos de lenguaje, incluida una puntuación CVSS inventada (https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access).

El mismo informe describe algo todavía más inquietante: PROMPTSPY, una puerta trasera para Android que incorpora un módulo llamado “GeminiAutomationAgent”, capaz de interpretar el estado del sistema comprometido y generar comandos de forma dinámica, un malware que razona sobre su propio contexto de ejecución en lugar de seguir un guion fijo.

Paralelamente, actores vinculados a China han comenzado a desplegar marcos de pruebas de penetración multiagente como Strix, encadenados con sistemas de memoria como Graphiti, para automatizar el descubrimiento y validación de vulnerabilidades con una supervisión humana mínima. En síntesis, la IA está pasando de ser un asistente de productividad a un motor de ataque autónomo.

El malware que se reescribe a sí mismo

La adaptabilidad es, quizás, el rasgo más subversivo de esta nueva generación de amenazas. El malware tradicional es estático: siempre existe una firma, un hash o una regla de detección que eventualmente lo atrapa. El malware asistido por modelos generativos puede reescribir su propia lógica de ofuscación en tiempo de ejecución, generar variantes polimórficas bajo demanda y ajustar su comportamiento según el entorno de defensa que detecta negociando con el sistema inmune de la red en lugar de simplemente intentar forzar una entrada.

CrowdStrike documentó un incremento del 563% en el uso de señuelos de CAPTCHA falsos y un salto del 141% en correo de phishing, ambos indicadores de una capacidad de generación de contenido de ingeniería social a una escala que sería inviable para operadores humanos (https://www.crowdstrike.com/en-us/global-threat-report/). GTIG (Google Threat Intelligence Group), por su parte, atribuye a actores vinculados a Rusia el desarrollo de malware polimórfico y técnicas de evasión asistidas por IA orientadas específicamente a acelerar la transformación del código malicioso frente a los motores de detección basados en firmas (https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access).

Es la misma lógica evolutiva que ha regido siempre la ciberseguridad: ataque, detección, adaptación, nueva detección, pero comprimida de ciclos de meses a ciclos de minutos. El problema no es solo que el malware se transforme, es que ahora decide cómo transformarse, en función de lo que observa, sin esperar a que un humano escriba la siguiente versión.

La misma tecnología que acelera los ataques empieza a utilizarse para detectar vulnerabilidades, desarrollar parches y automatizar la respuesta ante incidentes.

Los defensores contraatacan: parches que se escriben solos

La respuesta más ambiciosa a esta escalada no consiste en agregar más analistas a un centro de operaciones de seguridad. Es matemáticamente imposible contratar suficientes humanos para igualar un adversario que opera a 27 segundos por intrusión.

Google DeepMind presentó en octubre de 2025 CodeMender, un agente que no solo detecta vulnerabilidades sino que las parchea de forma autónoma, reescribiendo código para eliminar clases enteras de fallas en lugar de corregir instancias aisladas. Construido sobre los modelos Gemini Deep Think y apoyado en las capacidades de descubrimiento de vulnerabilidades de Big Sleep y OSS-Fuzz, CodeMender combina análisis estático y dinámico, fuzzing, razonamiento simbólico y un “juez” basado en LLM que valida que cada parche propuesto no rompa la funcionalidad existente antes de someterlo a revisión humana. En sus primeros seis meses de operación, el sistema envió 72 parches de seguridad a proyectos de código abierto, algunos en bases de código de más de 4,5 millones de líneas. En un ejemplo revelador, el agente aplicó anotaciones de seguridad de límites de memoria a libwebp (la misma librería de compresión de imágenes que fue explotada en 2023 en un ataque de clic cero contra iOS) haciendo que esa clase de desbordamiento de búfer sea, según DeepMind, “inexplotable para siempre” (https://deepmind.google/blog/introducing-codemender-an-ai-agent-for-code-security/).

Es una inversión de la lógica de parcheo tradicional: en vez de esperar a que un investigador humano encuentre la falla, reportarla, esperar un CVE, y que un desarrollador humano escriba y pruebe la corrección, el ciclo completo se comprime a horas y ocurre antes de que la falla llegue a ser explotado en producción.

En el terreno operativo, IBM lanzó su Autonomous Threat Operations Machine (ATOM) en 2025: un sistema agéntico que orquesta múltiples agentes especializados para triar, investigar y remediar amenazas con una intervención humana mínima. ATOM se integra como “operador digital” agnóstico de proveedor junto a plataformas de Google Cloud y Microsoft, y su función central es exactamente la que exige la nueva velocidad del adversario: acelerar la detección, enriquecer alertas con contexto, ejecutar planes de investigación y priorizar qué incidentes merecen atención humana, reduciendo el tiempo que los analistas dedican a falsos positivos y alertas de baja prioridad (https://newsroom.ibm.com/2025-04-28-ibm-delivers-autonomous-security-operations-with-cutting-edge-agentic-ai).

El informe Empowering Defenders: AI for Cybersecurity, publicado en mayo de 2026 por el World Economic Forum en colaboración con KPMG, cuantifica el impacto de esta adopción: las organizaciones que usan IA de forma extensiva en sus operaciones de seguridad reducen el costo promedio de una brecha hasta en 1,9 millones de dólares y acortan su ciclo de vida en aproximadamente 80 días. El 94% de los líderes de ciberseguridad consultados identifica a la IA como la fuerza de cambio definitoria de su campo, y el 77% de las organizaciones ya la usa operativamente en detección de phishing, monitoreo de anomalías, gestión de vulnerabilidades y respuesta a incidentes (https://www.weforum.org/publications/empowering-defenders-ai-for-cybersecurity/).

La grieta de velocidad, y por qué no se cierra sola

Aquí es donde el optimismo de los informes corporativos choca con una realidad más incómoda. El propio informe del WEF, después de listar los beneficios de la adopción de IA defensiva, advierte sobre el auge de sistemas agénticos autónomos capaces de detectar, coordinar y responder a amenazas con supervisión humana limitada y señala que esa misma autonomía introduce riesgos nuevos: responsabilidad difusa cuando un agente toma una decisión equivocada, comportamientos no previstos, y una dependencia excesiva de la automatización que puede erosionar exactamente el juicio humano que se necesita cuando el sistema falla (https://dig.watch/updates/world-economic-forum-report-highlights-growing-role-of-ai-in-cybersecurity-operations).

El caso GTG-1002 ilustra ambos lados de esa moneda. Anthropic señala que, pese a la autonomía casi total del ataque, las alucinaciones del modelo, como afirmar haber encontrado credenciales válidas que en realidad no lo eran, o exagerar la criticidad de hallazgos, introdujeron fricción real en la operación de los propios atacantes, obligando a validación humana en puntos clave y frenando, por ahora, la posibilidad de un ciberataque plenamente autónomo de punta a punta (https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf). Esto es un respiro, no una solución: la fiabilidad de los modelos ofensivos solo mejora con el tiempo, mientras que la ventana de detección de los defensores sigue midiéndose en minutos.

Ese desfase entre la velocidad de un agente ofensivo y el tiempo que tarda una organización en siquiera notar que algo está pasando es el verdadero campo de batalla. No es una cuestión de qué IA es “más inteligente”. Es una cuestión de quién controla el reloj. Y por ahora, cada avance defensivo (un ATOM, un CodeMender) reduce la ventana, pero no la elimina, porque el adversario también está iterando sobre esos mismos avances: GTIG ya documentó campañas de reconocimiento dirigidas específicamente contra la infraestructura de IA de las organizaciones, como inyección de prompts maliciosos, robo de claves de API y explotación de plataformas de desarrollo de IA como nuevo vector de persistencia, señal de que el propio ecosistema defensivo se ha convertido en objetivo (https://www.crowdstrike.com/en-us/global-threat-report/).

Marcos para pensar lo impensable

Frente a una superficie de amenaza que ya no encaja del todo en las categorías del cibercrimen clásico, MITRE extendió su conocido marco ATT&CK con ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems): una base de conocimiento viva, construida en colaboración con industria, academia y gobierno, que cataloga tácticas y técnicas adversarias específicas contra sistemas de IA, desde envenenamiento de datos de entrenamiento hasta evasión de modelos y compromiso de la cadena de suministro de IA, con el objetivo explícito de dar a los equipos de seguridad un lenguaje común para razonar sobre estos ataques (https://atlas.mitre.org/pdf-files/MITRE_ATLAS_Fact_Sheet.pdf). Es, en cierto sentido, el equivalente a escribir las primeras reglas de un juego que todavía se está inventando mientras se juega.

Lo que viene: gobernanza, no solo tecnología

Ni CrowdStrike ni el WEF ni Anthropic sugieren que la respuesta sea “más IA”. El consenso técnico que emerge de estos informes, pese a venir de actores con intereses comerciales distintos, es sorprendentemente convergente: la ventaja de la IA defensiva solo se materializa cuando se combina con gobernanza explícita, supervisión humana en los puntos de decisión de mayor consecuencia, y una inversión sostenida en la capacidad humana para intervenir cuando el sistema automatizado se equivoca. El riesgo real no es que las máquinas se vuelvan demasiado inteligentes. Es que los humanos, cómodos con la velocidad y la escala que ofrece la automatización, dejen de practicar el juicio que solo se adquiere interviniendo en el caso difícil, una y otra vez, hasta que llega el día en que ese juicio es lo único que queda entre una alerta ignorada y una brecha entre organizaciones.

La guerra entre IAs ya empezó. No se libra en un campo de batalla visible, sino en los 29 minutos que transcurren entre un clic y una exfiltración, y en la decisión, tomada por una máquina y validada o no por un humano, de qué hacer con ese margen de tiempo.

Leer más

Fuente: Artículo original