La inteligencia artificial ha dejado de ser solo un tema de discusión en círculos académicos y ahora es un elemento plenamente integrado en las guerras cibernéticas. Mi análisis de datos de 2025 y la primera mitad de 2026 muestra que la IA está profundamente integrada en ataques reales, desde la inteligencia hasta la generación final de código malicioso. Esto ya no son experimentos, sino una práctica consolidada.
La IA en acción: del phishing a los ataques contra LLM
Durante este período, he registrado al menos 18 grupos APT que utilizaron activamente la IA en sus operaciones. Un ejemplo representativo es el grupo GTG-1002, que empleaba modelos de lenguaje para crear correos de phishing. Los textos se adaptaban dinámicamente a la víctima específica, lo que permitía evadir con éxito los filtros de spam estándar. Esto es un salto cualitativo: antes el phishing era "masivo" y fácilmente reconocible, ahora se ha vuelto selectivo y personalizado.
El clúster TAT26-12 merece especial atención, ya que automatizó el proceso de recopilación de inteligencia sobre empleados e infraestructura de empresas. Pero lo más preocupante es la aparición de herramientas especializadas como PromptSpy. Este software está diseñado para atacar sistemas corporativos basados en grandes modelos de lenguaje (LLM), extrayendo prompts del sistema y manipulando el comportamiento de la IA. Otra herramienta, LAMEHUG, permite generar código malicioso con una participación humana mínima, lo que reduce drásticamente la barrera de entrada a la ciberdelincuencia.
Cambio de preferencias en los foros de la dark web
Se observa un claro cambio en las preferencias de los hackers. ChatGPT de OpenAI sigue siendo la opción más popular entre los novatos, sin embargo, para ataques reales y completos, los profesionales recurren cada vez más a Gemini de Google. Esto sugiere que los modelos de Google, al parecer, ofrecen capacidades más flexibles o restricciones menos estrictas en el contexto de tareas complejas.
Se discuten activamente métodos para evadir las restricciones integradas de los modelos, y algunos entusiastas ya intentan crear aplicaciones maliciosas completas utilizando servicios de IA públicos.
Una nueva era de ransomware
El panorama del ransomware también ha experimentado cambios significativos. En el último año y medio han surgido más de 50 nuevos grupos, y el número de incidentes relacionados supera los 9300. La tendencia clave es el abandono del cifrado de datos como método principal de presión. En su lugar, los atacantes han pasado a tácticas de extorsión pura con la amenaza de publicar la información robada. Esto reduce la complejidad técnica del ataque, pero complica enormemente la vida de los equipos de seguridad.
El mercado de datos robados sigue funcionando: a pesar del cierre de seis grandes plataformas clandestinas, han surgido cinco nuevas en su lugar. En las card shops activas hay más de 16,5 millones de tarjetas de pago comprometidas a la venta. Es notable que incluso OpenAI se haya visto obligada a ralentizar el desarrollo de sus sistemas avanzados tras una serie de incidentes, lo que confirma la gravedad de las ciberamenazas para la propia industria de la IA.
Mi comentario: Estamos presenciando la convergencia de dos tendencias: la democratización de las herramientas de hacking y el aumento de la complejidad de los ataques. El uso de la IA permite a los atacantes escalar sus esfuerzos y adaptarse en tiempo real, lo que hace que los métodos de protección tradicionales sean cada vez menos efectivos. La industria de la seguridad tendrá que pasar de un modelo reactivo a uno proactivo, utilizando las mismas tecnologías de IA para el análisis predictivo de amenazas.