{"id":4726,"date":"2026-08-28T01:46:08","date_gmt":"2026-08-28T04:46:08","guid":{"rendered":"https:\/\/tucumandevelopers.com\/index.php\/2026\/08\/28\/la-guerra-de-las-ias-cuando-una-inteligencia-artificial-ataca-a-otra\/"},"modified":"2026-08-28T01:46:08","modified_gmt":"2026-08-28T04:46:08","slug":"la-guerra-de-las-ias-cuando-una-inteligencia-artificial-ataca-a-otra","status":"publish","type":"post","link":"https:\/\/tucumandevelopers.com\/index.php\/2026\/08\/28\/la-guerra-de-las-ias-cuando-una-inteligencia-artificial-ataca-a-otra\/","title":{"rendered":"La Guerra de las IAs: cuando una inteligencia artificial ataca a otra"},"content":{"rendered":"
\n
\n
\n

En septiembre de 2025, un equipo de analistas de Anthropic detect\u00f3 un patr\u00f3n extra\u00f1o en el uso de Claude Code, su asistente de programaci\u00f3n ag\u00e9ntico: miles de solicitudes por segundo, un ritmo que ning\u00fan operador humano pod\u00eda sostener. Lo que encontraron, seg\u00fan su propio informe forense, fue un grupo respaldado por el estado chino, catalogado internamente como GTG-1002, que hab\u00eda convertido a la IA en el operador principal de una campa\u00f1a de espionaje. No en un asesor. En el ejecutor. Los humanos eleg\u00edan los objetivos y aprobaban decisiones cr\u00edticas; la IA se encargaba de todo lo dem\u00e1s: reconocimiento, desarrollo de exploits, robo de credenciales, movimiento lateral y exfiltraci\u00f3n. Anthropic calcula que el sistema ejecut\u00f3 entre el 80% y el 90% de las tareas t\u00e1cticas de forma aut\u00f3noma, atacando a unas treinta organizaciones tecnol\u00f3gicas, financieras, qu\u00edmicas y gubernamentales (<\/span>https:\/\/assets.anthropic.com\/m\/ec212e6566a0d47\/original\/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf<\/span><\/a>).<\/span><\/p>\n

Fue, seg\u00fan la propia compa\u00f1\u00eda, el primer caso documentado de un ciberataque a gran escala ejecutado sin intervenci\u00f3n humana sustancial.<\/span><\/p>\n

La pregunta que dominaba las conferencias de seguridad hace dos a\u00f1os \u00bfpuede una IA hackear a un humano?, ha sido reemplazada por otra, m\u00e1s inc\u00f3moda: \u00bfqu\u00e9 pasa cuando una IA ataca a otra IA, a la velocidad de la m\u00e1quina, sin ning\u00fan humano de por medio?<\/span><\/p>\n

El atacante que ya no necesita dormir<\/b><\/span><\/h2>\n

Para entender la magnitud del cambio conviene mirar los n\u00fameros duros. El <\/span>Global Threat Report 2026<\/span><\/i> de CrowdStrike, construido sobre inteligencia de primera l\u00ednea recogida durante cientos de investigaciones de respuesta a incidentes, documenta que las operaciones de adversarios potenciados por IA crecieron un 89% interanual, y que el tiempo medio de \u201cbreakout\u201d (el intervalo entre el compromiso inicial y el movimiento lateral) cay\u00f3 a apenas 29 minutos en 2025, frente a los 48 minutos de 2024. El caso m\u00e1s extremo tard\u00f3 27 segundos. En una intrusi\u00f3n concreta, la exfiltraci\u00f3n de datos comenz\u00f3 cuatro minutos despu\u00e9s del acceso inicial (<\/span>https:\/\/www.crowdstrike.com\/en-us\/global-threat-report\/<\/span><\/a>).<\/span><\/p>\n

Ese dato de los 29 minutos es la nueva l\u00ednea de base contra la que se mide cualquier estrategia defensiva. No es una velocidad \u201cm\u00e1s r\u00e1pida\u201d. Es una velocidad de un orden de magnitud distinto al que los equipos de seguridad humanos est\u00e1n capacitados para operar. El mismo informe se\u00f1ala que el 42% de las vulnerabilidades explotadas en 2025 lo fueron <\/span>antes<\/span><\/i> de su divulgaci\u00f3n p\u00fablica, y que el 82% de las detecciones no involucraron malware tradicional: los atacantes usan credenciales leg\u00edtimas, herramientas administrativas nativas y accesos de confianza, exactamente el tipo de reconocimiento sigiloso y adaptativo en el que un agente de IA sobresale.<\/span><\/p>\n

Los agentes de IA pueden automatizar etapas enteras de una intrusi\u00f3n, desde el reconocimiento inicial hasta el movimiento lateral y la exfiltraci\u00f3n de datos.<\/figcaption><\/figure>\n

El Google Threat Intelligence Group (GTIG), que combina telemetr\u00eda de Gemini con las investigaciones forenses de Mandiant, document\u00f3 en mayo de 2026 lo que describe como el primer caso confirmado de un exploit de d\u00eda cero desarrollado con asistencia de IA usado en explotaci\u00f3n activa: un actor malicioso emple\u00f3 un modelo para dise\u00f1ar y armar un exploit contra un sistema de administraci\u00f3n web de c\u00f3digo abierto, evadiendo su autenticaci\u00f3n de dos factores. El c\u00f3digo analizado mostraba patrones caracter\u00edsticos de generaci\u00f3n por modelos de lenguaje, incluida una puntuaci\u00f3n CVSS inventada (<\/span>https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/ai-vulnerability-exploitation-initial-access<\/span><\/a>).<\/span><\/p>\n

El mismo informe describe algo todav\u00eda m\u00e1s inquietante: PROMPTSPY, una puerta trasera para Android que incorpora un m\u00f3dulo llamado \u201cGeminiAutomationAgent\u201d, capaz de interpretar el estado del sistema comprometido y generar comandos de forma din\u00e1mica, un malware que razona sobre su propio contexto de ejecuci\u00f3n en lugar de seguir un guion fijo.<\/span><\/p>\n

Paralelamente, actores vinculados a China han comenzado a desplegar marcos de pruebas de penetraci\u00f3n multiagente como Strix, encadenados con sistemas de memoria como Graphiti, para automatizar el descubrimiento y validaci\u00f3n de vulnerabilidades con una supervisi\u00f3n humana m\u00ednima. En s\u00edntesis, la IA est\u00e1 pasando de ser un asistente de productividad a un motor de ataque aut\u00f3nomo.<\/span><\/p>\n

El malware que se reescribe a s\u00ed mismo<\/b><\/span><\/h2>\n

La adaptabilidad es, quiz\u00e1s, el rasgo m\u00e1s subversivo de esta nueva generaci\u00f3n de amenazas. El malware tradicional es est\u00e1tico: siempre existe una firma, un hash o una regla de detecci\u00f3n que eventualmente lo atrapa. El malware asistido por modelos generativos puede reescribir su propia l\u00f3gica de ofuscaci\u00f3n en tiempo de ejecuci\u00f3n, generar variantes polim\u00f3rficas bajo demanda y ajustar su comportamiento seg\u00fan el entorno de defensa que detecta negociando con el sistema inmune de la red en lugar de simplemente intentar forzar una entrada.<\/span><\/p>\n

CrowdStrike document\u00f3 un incremento del 563% en el uso de se\u00f1uelos de CAPTCHA falsos y un salto del 141% en correo de phishing, ambos indicadores de una capacidad de generaci\u00f3n de contenido de ingenier\u00eda social a una escala que ser\u00eda inviable para operadores humanos (<\/span>https:\/\/www.crowdstrike.com\/en-us\/global-threat-report\/<\/span><\/a>). GTIG (Google Threat Intelligence Group), por su parte, atribuye a actores vinculados a Rusia el desarrollo de malware polim\u00f3rfico y t\u00e9cnicas de evasi\u00f3n asistidas por IA orientadas espec\u00edficamente a acelerar la transformaci\u00f3n del c\u00f3digo malicioso frente a los motores de detecci\u00f3n basados en firmas (<\/span>https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/ai-vulnerability-exploitation-initial-access<\/span><\/a>).<\/span><\/p>\n

Es la misma l\u00f3gica evolutiva que ha regido siempre la ciberseguridad: ataque, detecci\u00f3n, adaptaci\u00f3n, nueva detecci\u00f3n, pero comprimida de ciclos de meses a ciclos de minutos. El problema no es solo que el malware se transforme, es que ahora <\/span>decide c\u00f3mo<\/span><\/i> transformarse, en funci\u00f3n de lo que observa, sin esperar a que un humano escriba la siguiente versi\u00f3n.<\/span><\/p>\n

La misma tecnolog\u00eda que acelera los ataques empieza a utilizarse para detectar vulnerabilidades, desarrollar parches y automatizar la respuesta ante incidentes.<\/figcaption><\/figure>\n

Los defensores contraatacan: parches que se escriben solos<\/b><\/span><\/h2>\n

La respuesta m\u00e1s ambiciosa a esta escalada no consiste en agregar m\u00e1s analistas a un centro de operaciones de seguridad. Es matem\u00e1ticamente imposible contratar suficientes humanos para igualar un adversario que opera a 27 segundos por intrusi\u00f3n.<\/span><\/p>\n

Google DeepMind present\u00f3 en octubre de 2025 CodeMender, un agente que no solo detecta vulnerabilidades sino que las parchea de forma aut\u00f3noma, reescribiendo c\u00f3digo para eliminar clases enteras de fallas en lugar de corregir instancias aisladas. Construido sobre los modelos Gemini Deep Think y apoyado en las capacidades de descubrimiento de vulnerabilidades de Big Sleep y OSS-Fuzz, CodeMender combina an\u00e1lisis est\u00e1tico y din\u00e1mico, fuzzing, razonamiento simb\u00f3lico y un \u201cjuez\u201d basado en LLM que valida que cada parche propuesto no rompa la funcionalidad existente antes de someterlo a revisi\u00f3n humana. En sus primeros seis meses de operaci\u00f3n, el sistema envi\u00f3 72 parches de seguridad a proyectos de c\u00f3digo abierto, algunos en bases de c\u00f3digo de m\u00e1s de 4,5 millones de l\u00edneas. En un ejemplo revelador, el agente aplic\u00f3 anotaciones de seguridad de l\u00edmites de memoria a libwebp (la misma librer\u00eda de compresi\u00f3n de im\u00e1genes que fue explotada en 2023 en un ataque de clic cero contra iOS) haciendo que esa clase de desbordamiento de b\u00fafer sea, seg\u00fan DeepMind, \u201cinexplotable para siempre\u201d (<\/span>https:\/\/deepmind.google\/blog\/introducing-codemender-an-ai-agent-for-code-security\/<\/span><\/a>).<\/span><\/p>\n

Es una inversi\u00f3n de la l\u00f3gica de parcheo tradicional: en vez de esperar a que un investigador humano encuentre la falla, reportarla, esperar un CVE, y que un desarrollador humano escriba y pruebe la correcci\u00f3n, el ciclo completo se comprime a horas y ocurre antes de que la falla llegue a ser explotado en producci\u00f3n.<\/span><\/p>\n

En el terreno operativo, IBM lanz\u00f3 su Autonomous Threat Operations Machine (ATOM) en 2025: un sistema ag\u00e9ntico que orquesta m\u00faltiples agentes especializados para triar, investigar y remediar amenazas con una intervenci\u00f3n humana m\u00ednima. ATOM se integra como \u201coperador digital\u201d agn\u00f3stico de proveedor junto a plataformas de Google Cloud y Microsoft, y su funci\u00f3n central es exactamente la que exige la nueva velocidad del adversario: acelerar la detecci\u00f3n, enriquecer alertas con contexto, ejecutar planes de investigaci\u00f3n y priorizar qu\u00e9 incidentes merecen atenci\u00f3n humana, reduciendo el tiempo que los analistas dedican a falsos positivos y alertas de baja prioridad (<\/span>https:\/\/newsroom.ibm.com\/2025-04-28-ibm-delivers-autonomous-security-operations-with-cutting-edge-agentic-ai<\/span><\/a>).<\/span><\/p>\n

El informe <\/span>Empowering Defenders: AI for Cybersecurity<\/span><\/i>, publicado en mayo de 2026 por el World Economic Forum en colaboraci\u00f3n con KPMG, cuantifica el impacto de esta adopci\u00f3n: las organizaciones que usan IA de forma extensiva en sus operaciones de seguridad reducen el costo promedio de una brecha hasta en 1,9 millones de d\u00f3lares y acortan su ciclo de vida en aproximadamente 80 d\u00edas. El 94% de los l\u00edderes de ciberseguridad consultados identifica a la IA como la fuerza de cambio definitoria de su campo, y el 77% de las organizaciones ya la usa operativamente en detecci\u00f3n de phishing, monitoreo de anomal\u00edas, gesti\u00f3n de vulnerabilidades y respuesta a incidentes (<\/span>https:\/\/www.weforum.org\/publications\/empowering-defenders-ai-for-cybersecurity\/<\/span><\/a>).<\/span><\/p>\n

La grieta de velocidad, y por qu\u00e9 no se cierra sola<\/b><\/span><\/h2>\n

Aqu\u00ed es donde el optimismo de los informes corporativos choca con una realidad m\u00e1s inc\u00f3moda. El propio informe del WEF, despu\u00e9s de listar los beneficios de la adopci\u00f3n de IA defensiva, advierte sobre el auge de sistemas ag\u00e9nticos aut\u00f3nomos capaces de detectar, coordinar y responder a amenazas con supervisi\u00f3n humana limitada y se\u00f1ala que esa misma autonom\u00eda introduce riesgos nuevos: responsabilidad difusa cuando un agente toma una decisi\u00f3n equivocada, comportamientos no previstos, y una dependencia excesiva de la automatizaci\u00f3n que puede erosionar exactamente el juicio humano que se necesita cuando el sistema falla (<\/span>https:\/\/dig.watch\/updates\/world-economic-forum-report-highlights-growing-role-of-ai-in-cybersecurity-operations<\/span><\/a>).<\/span><\/p>\n

El caso GTG-1002 ilustra ambos lados de esa moneda. Anthropic se\u00f1ala que, pese a la autonom\u00eda casi total del ataque, las alucinaciones del modelo, como afirmar haber encontrado credenciales v\u00e1lidas que en realidad no lo eran, o exagerar la criticidad de hallazgos, introdujeron fricci\u00f3n real en la operaci\u00f3n de los propios atacantes, obligando a validaci\u00f3n humana en puntos clave y frenando, por ahora, la posibilidad de un ciberataque plenamente aut\u00f3nomo de punta a punta (<\/span>https:\/\/assets.anthropic.com\/m\/ec212e6566a0d47\/original\/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf<\/span><\/a>). Esto es un respiro, no una soluci\u00f3n: la fiabilidad de los modelos ofensivos solo mejora con el tiempo, mientras que la ventana de detecci\u00f3n de los defensores sigue midi\u00e9ndose en minutos.<\/span><\/p>\n

Ese desfase entre la velocidad de un agente ofensivo y el tiempo que tarda una organizaci\u00f3n en siquiera <\/span>notar<\/span><\/i> que algo est\u00e1 pasando es el verdadero campo de batalla. No es una cuesti\u00f3n de qu\u00e9 IA es \u201cm\u00e1s inteligente\u201d. Es una cuesti\u00f3n de qui\u00e9n controla el reloj. Y por ahora, cada avance defensivo (un ATOM, un CodeMender) reduce la ventana, pero no la elimina, porque el adversario tambi\u00e9n est\u00e1 iterando sobre esos mismos avances: GTIG ya document\u00f3 campa\u00f1as de reconocimiento dirigidas espec\u00edficamente contra la infraestructura de IA de las organizaciones, como inyecci\u00f3n de prompts maliciosos, robo de claves de API y explotaci\u00f3n de plataformas de desarrollo de IA como nuevo vector de persistencia, se\u00f1al de que el propio ecosistema defensivo se ha convertido en objetivo (<\/span>https:\/\/www.crowdstrike.com\/en-us\/global-threat-report\/<\/span><\/a>).<\/span><\/p>\n

Marcos para pensar lo impensable<\/b><\/span><\/h2>\n

Frente a una superficie de amenaza que ya no encaja del todo en las categor\u00edas del cibercrimen cl\u00e1sico, MITRE extendi\u00f3 su conocido marco ATT&CK con ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems): una base de conocimiento viva, construida en colaboraci\u00f3n con industria, academia y gobierno, que cataloga t\u00e1cticas y t\u00e9cnicas adversarias espec\u00edficas contra sistemas de IA, desde envenenamiento de datos de entrenamiento hasta evasi\u00f3n de modelos y compromiso de la cadena de suministro de IA, con el objetivo expl\u00edcito de dar a los equipos de seguridad un lenguaje com\u00fan para razonar sobre estos ataques (<\/span>https:\/\/atlas.mitre.org\/pdf-files\/MITRE_ATLAS_Fact_Sheet.pdf<\/span><\/a>). Es, en cierto sentido, el equivalente a escribir las primeras reglas de un juego que todav\u00eda se est\u00e1 inventando mientras se juega.<\/span><\/p>\n

Lo que viene: gobernanza, no solo tecnolog\u00eda<\/b><\/span><\/h2>\n

Ni CrowdStrike ni el WEF ni Anthropic sugieren que la respuesta sea \u201cm\u00e1s IA\u201d. El consenso t\u00e9cnico que emerge de estos informes, pese a venir de actores con intereses comerciales distintos, es sorprendentemente convergente: la ventaja de la IA defensiva solo se materializa cuando se combina con gobernanza expl\u00edcita, supervisi\u00f3n humana en los puntos de decisi\u00f3n de mayor consecuencia, y una inversi\u00f3n sostenida en la capacidad humana para intervenir cuando el sistema automatizado se equivoca. El riesgo real no es que las m\u00e1quinas se vuelvan demasiado inteligentes. Es que los humanos, c\u00f3modos con la velocidad y la escala que ofrece la automatizaci\u00f3n, dejen de practicar el juicio que solo se adquiere interviniendo en el caso dif\u00edcil, una y otra vez, hasta que llega el d\u00eda en que ese juicio es lo \u00fanico que queda entre una alerta ignorada y una brecha entre organizaciones.<\/span><\/p>\n

La guerra entre IAs ya empez\u00f3. No se libra en un campo de batalla visible, sino en los 29 minutos que transcurren entre un clic y una exfiltraci\u00f3n, y en la decisi\u00f3n, tomada por una m\u00e1quina y validada o no por un humano, de qu\u00e9 hacer con ese margen de tiempo.<\/span><\/p>\n

Leer m\u00e1s<\/span><\/h3>\n