La inteligencia artificial ya no es un accesorio ocasional en el arsenal de los ciberdelincuentes, sino que se ha convertido en una capa operativa transversal que interviene en todas las fases de un ciberataque. Grupos vinculados a Estados nacionales la emplean de forma sistemática para identificar objetivos, descubrir vulnerabilidades, desarrollar malware, robar credenciales y moverse lateralmente dentro de las organizaciones atacadas. Este cambio de paradigma, documentado por el último informe de TrendAI™, redefine la velocidad, la escala y la capacidad de adaptación de las intrusiones modernas.
La evolución no radica en la invención de técnicas radicalmente nuevas, sino en la capacidad de ejecutar métodos conocidos con una eficiencia sin precedentes. Mientras tanto, las organizaciones enfrentan una presión creciente: en España, el Instituto Nacional de Ciberseguridad (INCIBE) gestionó un 26% más de incidentes que el año anterior y detectó 237.028 sistemas vulnerables. A nivel global, el World Economic Forum señala que el 94% de los líderes considera que la inteligencia artificial será el principal factor de cambio en ciberseguridad durante 2026. Estos datos no son cifras aisladas; son el reflejo de una transformación estructural que exige repensar por completo las estrategias de defensa.
La IA como motor de todo el ciclo de intrusión
El informe de TrendAI™ analiza la adopción de inteligencia artificial por parte de actores vinculados a China, Rusia, Corea del Norte e Irán. Uno de los hallazgos más reveladores proviene de una campaña que afectó a más de 20 organizaciones, incluyendo organismos gubernamentales, diplomáticos y de defensa. En este caso, la IA fue utilizada durante prácticamente todo el ciclo de intrusión: desde la fase de reconocimiento hasta la exfiltración de datos. Los agentes basados en inteligencia artificial llegaron incluso a modificar y generar nuevas versiones de malware de forma interactiva cuando las herramientas de seguridad detectaban las variantes originales, produciendo versiones capaces de evadir esa detección en tiempo real.
David Sancho, investigador senior de amenazas de TrendAI™, explica el núcleo del desafío: “La IA no solo está cambiando las herramientas que utilizan los atacantes, sino también la velocidad a la que pueden operar. Automatizar tareas que antes requerían intervención manual permite acelerar distintas fases de una intrusión y obliga a las organizaciones a reducir sus propios tiempos de detección y respuesta. El reto no es identificar un ataque, sino hacerlo antes de que esa automatización permita al adversario avanzar dentro de la organización”.
¿Cómo se manifiesta la intervención de la IA en cada fase?
Para entender el alcance de esta transformación, conviene desglosar las etapas clásicas de un ciberataque y observar cómo la inteligencia artificial las potencia:
- Reconocimiento y selección de objetivos: La IA permite analizar grandes volúmenes de datos públicos y filtrados para identificar organizaciones, personas o sistemas con alta probabilidad de éxito. Los modelos de lenguaje pueden procesar información de redes sociales, foros técnicos y bases de datos filtradas para construir perfiles detallados.
- Identificación de vulnerabilidades: Herramientas automatizadas escanean sistemas en busca de debilidades conocidas y desconocidas. La IA puede priorizar aquellas más explotables según el contexto específico del objetivo.
- Desarrollo y personalización de malware: Como demuestra el caso de la campaña contra organizaciones gubernamentales, la IA es capaz de generar nuevas variantes de código malicioso sobre la marcha, adaptándose a las defensas que encuentra. Esto elimina la necesidad de que un desarrollador humano modifique manualmente el malware cada vez que es detectado.
- Robo de credenciales y movimiento lateral: Los atacantes utilizan IA para automatizar la prueba de credenciales robadas, identificar patrones de acceso y moverse entre sistemas sin levantar sospechas. La velocidad de máquina permite recorrer una red corporativa en minutos, cuando antes podía llevar días o semanas.
- Exfiltración y encubrimiento: La IA puede optimizar la extracción de datos para evitar alertas de volumen o de horario, y generar tráfico de red que se mezcle con las comunicaciones legítimas.
Malware que aprende durante el ataque: el caso LAMEHUG
El informe también identifica ejemplos concretos de malware que incorporan directamente modelos de lenguaje. Un caso destacado es LAMEHUG, una pieza maliciosa asociada al grupo ruso Pawn Storm. Este malware utiliza un modelo de inteligencia artificial para generar comandos de Windows durante la ejecución en los dispositivos comprometidos, en lugar de depender únicamente de instrucciones preprogramadas. Esto significa que el atacante no necesita anticipar todos los escenarios posibles; el propio malware adapta su comportamiento al entorno que encuentra, buscando las rutas de movimiento lateral o los mecanismos de persistencia más efectivos en cada momento.
El enfoque de LAMEHUG representa un salto cualitativo: el código malicioso deja de ser estático y se convierte en un agente autónomo capaz de tomar decisiones tácticas. Para los equipos de defensa, esto implica que las firmas tradicionales de detección basadas en hashes o en comportamientos conocidos pierden eficacia. La atención debe desplazarse hacia la monitorización de acciones anómalas a velocidad de máquina, como la ejecución repetida de comandos en intervalos imposibles para un humano, o la automatización de herramientas administrativas.
Estrategias nacionales: China, Rusia, Corea del Norte e Irán
El informe de TrendAI™ subraya que no es necesario disponer de los modelos de inteligencia artificial más avanzados para obtener ventajas ofensivas significativas. Los grupos analizados combinan modelos nacionales, servicios comerciales extranjeros y modelos abiertos en función de su disponibilidad y de las restricciones de cada país. Sin embargo, existen diferencias notables en el enfoque de cada actor estatal:
| País | Enfoque principal en IA ofensiva |
|---|---|
| China | Ecosistema doméstico más sólido; desarrollo de modelos propios y plataformas integradas de ciberoperaciones. |
| Rusia | Integración práctica de la IA en operaciones existentes; uso de modelos abiertos y comerciales para acelerar técnicas ya consolidadas. |
| Corea del Norte | Aplicación en fraude laboral, ingeniería social y generación de malware; optimización de ataques de bajo costo y alto impacto. |
| Irán | Uso intensivo de herramientas comerciales y servicios en la nube para suplantación, robo de credenciales y ataques de denegación de servicio. |
China destaca por haber construido el ecosistema doméstico más robusto, lo que le permite desarrollar inteligencia artificial ofensiva sin depender de proveedores extranjeros. Rusia, por su parte, se distingue por la capacidad de incrustar modelos de IA en procesos operativos ya maduros, optimizando la eficiencia sin necesidad de reinventar técnicas. Corea del Norte aplica la IA principalmente a actividades de fraude laboral y campañas de ingeniería social, donde la personalización masiva de mensajes y la suplantación de identidad se benefician enormemente de los modelos de lenguaje. Irán recurre de forma intensiva a herramientas comerciales disponibles en el mercado, lo que le permite mantener una capacidad ofensiva relevante con una inversión moderada en investigación propia.
¿Qué significa esto para la defensa empresarial?
Ante un panorama donde la inteligencia artificial interviene en todas las fases de un ciberataque, las estrategias de protección deben evolucionar. El informe de TrendAI™ ofrece una respuesta directa a una de las preguntas clave que todo responsable de seguridad debería hacerse: ¿Cómo adaptar la defensa cuando el atacante opera a velocidad de máquina?
La respuesta se articula en tres principios. Primero, la monitorización debe centrarse en el comportamiento de los sistemas y no únicamente en indicadores tradicionales como firmas de malware o direcciones IP sospechosas. Las señales críticas incluyen acciones repetidas a velocidad de máquina, automatización de herramientas administrativas desde cuentas no previstas, patrones anómalos de acceso a credenciales y movimientos laterales inusuales. Segundo, las medidas de protección básica siguen siendo esenciales: autenticación resistente al phishing, protección de los sistemas expuestos a Internet y monitorización del abuso de credenciales. Estas barreras, aunque no son infalibles frente a ataques potenciados por IA, elevan el coste y la complejidad que el adversario debe asumir. Tercero, la capacidad de respuesta debe comprimirse: el tiempo de detección y reacción —tradicionalmente medido en horas o días— debe reducirse a minutos o segundos para interceptar las fases automatizadas del ataque antes de que el adversario consiga avanzar dentro de la organización.
La industria de ciberseguridad ya está desarrollando soluciones que incorporan inteligencia artificial defensiva para contrarrestar esta amenaza. Sistemas de detección basados en comportamiento, plataformas de respuesta automatizada y orquestación de seguridad (SOAR) están empezando a integrar modelos de lenguaje para analizar alertas, correlacionar eventos y ejecutar acciones correctivas sin intervención humana. Sin embargo, la carrera entre atacantes y defensores se ha acelerado: la capacidad de un adversario para generar malware adaptativo sobre la marcha exige que las defensas sean igualmente dinámicas y capaces de aprender en tiempo real.
El informe de TrendAI™ no ofrece soluciones milagrosas, pero sí un diagnóstico claro: la inteligencia artificial ha elevado el piso de capacidad ofensiva de los actores estatales y, previsiblemente, se filtrará hacia grupos criminales a medida que las herramientas se abaraten y estén más disponibles. Para las organizaciones, especialmente aquellas en sectores críticos como gobierno, defensa, energía o finanzas, la pregunta ya no es si enfrentarán un ataque potenciado por IA, sino cuándo y con qué rapidez podrán detectarlo y contenerlo. La ventaja competitiva en ciberseguridad se definirá cada vez más por la capacidad de operar a la misma velocidad que los adversarios automatizados, combinando tecnología, procesos y talento humano en un ciclo continuo de aprendizaje y adaptación.
