La inteligencia artificial generativa está redefiniendo la economía de los ciberataques. Ya no se trata solo de que un atacante utilice un chatbot para escribir código malicioso; el salto cualitativo radica en que los sistemas de IA están pasando de ser meros asistentes a convertirse en orquestadores autónomos de campañas completas. Así lo documenta el nuevo informe de inteligencia de amenazas de Anthropic, Detecting and countering misuse of AI: September 2026, publicado el 10 de septiembre, que analiza la actividad maliciosa detectada y bloqueada entre diciembre de 2025 y agosto de 2026. El informe revela cómo la IA no solo acelera tareas ofensivas, sino que permite a actores con recursos limitados ejecutar operaciones que hasta hace poco requerían equipos especializados, al tiempo que las propias plataformas y credenciales de IA se convierten en objetivos de primera clase para los ciberdelincuentes.
Del asistente al orquestador: el salto que cambia la inteligencia de amenazas
La evolución más significativa que describe Anthropic es el tránsito de la IA de un rol de apoyo a un rol de dirección. En las campañas estudiadas, ya no se observa únicamente a un atacante preguntando a un chatbot cómo escribir determinado código. En varios casos aparecen sistemas multiagente capaces de encargarse de reconocimiento, desarrollo de herramientas, explotación, procesamiento de información robada o exfiltración, mientras que el operador humano se limita a establecer objetivos y supervisar determinados resultados.
Según Anthropic, la mayoría de las operaciones analizadas contó con algún grado de ejecución u orquestación directa por parte de la IA. Esta transición, que la compañía resume con la expresión «from assistant to orchestrator», introduce una consecuencia especialmente importante para los equipos de inteligencia de amenazas: la sofisticación técnica de una campaña deja de ser un indicador tan fiable del nivel de recursos del atacante. Capacidades que antes diferenciaban a una operación respaldada por un Estado de un pequeño grupo criminal están empezando a estar disponibles para categorías muy distintas de adversarios. Herramientas y frameworks ofensivos con agentes de IA ayudan a automatizar partes de la cyber kill chain, mientras tareas como reconocimiento, generación de código, análisis de entornos y procesamiento masivo de información pueden ejecutarse en paralelo y a velocidad de máquina.
Espionaje ruso y malware que intenta evadir detecciones en tiempo real
Uno de los casos más significativos es GTG-20006, un actor cuya actividad Anthropic considera coherente con informes públicos relacionados con Midnight Blizzard, el grupo de espionaje ruso. Según la investigación, el grupo utilizó flujos de trabajo apoyados por IA para automatizar desde el desarrollo de herramientas y la adquisición de infraestructura hasta campañas de phishing, persistencia, mando y control y exfiltración de información.
Entre los objetivos identificados aparecen organismos gubernamentales, organizaciones diplomáticas y de defensa y entidades vinculadas a Ucrania y a la industria de drones. Anthropic afirma haber identificado más de 20 organizaciones dentro de sus actividades de planificación, reconocimiento u operaciones. Uno de los elementos más preocupantes es el uso de agentes para comprobar si las herramientas maliciosas estaban siendo detectadas por productos de seguridad. Cuando se detectaba un implante, los sistemas podían iniciar procesos de modificación y reconstrucción destinados a intentar recuperar la evasión.
El informe considera que este modelo puede alterar una de las dinámicas tradicionales de la defensa. Hasta ahora, desarrollar una nueva detección imponía un coste al atacante, que tenía que modificar manualmente sus herramientas. Si ese ciclo puede automatizarse parcialmente, los adversarios podrían reducir de forma considerable ese coste. Para los defensores, la consecuencia resulta clara: depender exclusivamente de firmas estáticas será todavía menos eficaz.
«Vibe hacking»: cómo ShinyHunters automatiza el saqueo de credenciales
El informe también analiza varios operadores que Anthropic sospecha que estaban asociados con el colectivo ShinyHunters. Aquí aparece otro concepto relevante: vibe hacking. Anthropic lo utiliza para describir operaciones en las que el atacante indica un objetivo general —por ejemplo, acceder a cierta información utilizando unas credenciales— y deja que la IA examine el entorno, programe scripts, ejecute tareas, resuma resultados e itere hasta completar la misión. En algunos casos, el operador ni siquiera necesita conocer con precisión la arquitectura tecnológica de cada víctima.
Uno de los actores investigados gestionaba una infraestructura distribuida que había descargado alrededor de 1,8 millones de APK de Android para buscar secretos y credenciales expuestos. En otra intrusión contra un proveedor SaaS, el acceso permitió llegar a datos correspondientes a aproximadamente 200 organizaciones clientes y obtener más de 2.100 conjuntos de tokens de Azure AD pertenecientes a más de 40 tenants, según el informe. Anthropic señala además que algunas intrusiones evolucionaron extremadamente rápido: una escaló desde un único token de desarrollador robado hasta el control administrativo de un entorno cloud en aproximadamente tres horas.
La novedad, de nuevo, no reside tanto en las técnicas utilizadas. Credenciales robadas, phishing, servicios expuestos, vulnerabilidades web y sistemas sin parchear siguen formando parte del arsenal. Lo que cambia es la capacidad de automatizar el trabajo necesario para explotar esas oportunidades.
¿Qué es el «vibe hacking»? Es una modalidad de ataque en la que el operador humano define un objetivo amplio —como «accede a los datos de este cliente usando estas credenciales»— y la IA se encarga de explorar el entorno, escribir scripts, ejecutar comandos, procesar resultados y ajustar el enfoque de forma iterativa hasta lograr el objetivo. El atacante puede desconocer los detalles técnicos del sistema víctima; la inteligencia artificial actúa como un equipo de reconocimiento y explotación autónomo.
Fábricas autónomas de exploits: un solo mes, más de una docena de posibles zero-day
Otro caso, denominado GTG-10007, muestra un escenario que puede resultar especialmente relevante para los fabricantes de tecnología. Anthropic investigó a operadores de habla china que habrían construido flujos de trabajo destinados a investigar vulnerabilidades y desarrollar exploits de manera continuada. Los agentes analizaban firmware y binarios, recorrían cadenas de referencias de código, formulaban hipótesis sobre posibles vulnerabilidades y generaban posteriormente código para comprobarlas contra sistemas de laboratorio.
Según el informe, uno de esos procesos aplicado de forma continuada sobre dispositivos de red produjo más de una docena de posibles vulnerabilidades zero-day en un solo mes. El escenario apunta hacia una evolución relevante de la investigación ofensiva: sistemas capaces de trabajar durante horas o días sobre grandes cantidades de código mientras mantienen memoria de proyecto y dividen el trabajo entre múltiples agentes. Para los fabricantes de hardware y software, esto supone una amenaza creciente: ya no solo compiten contra equipos humanos de investigación, sino contra procesos automatizados que no se fatigan y pueden escalar de forma masiva.
La cadena de suministro de IA se convierte en objetivo prioritario
Una de las conclusiones con mayores implicaciones empresariales es que las credenciales de inteligencia artificial ya tienen valor propio dentro de la economía criminal. API keys, tokens de sesión y accesos a modelos pueden utilizarse como botín, como capacidad de computación financiada por la víctima y como mecanismo para ocultar la verdadera procedencia de una actividad.
Anthropic documenta criminales que buscaron claves expuestas en aplicaciones, repositorios de código, contenedores, dispositivos y servicios de IA. También detectó supuestos servicios de acceso barato a modelos que en realidad instalaban herramientas para robar credenciales. En otro caso, denominado GTG-50020, un atacante consiguió extraer claves de producción pertenecientes a proveedores de IA mediante instrucciones maliciosas dirigidas a un entorno automatizado de evaluación. Posteriormente utilizó las credenciales robadas para continuar atacando.
Una campaña posterior procedente de la misma infraestructura se dirigió aproximadamente contra 30 compañías de IA en unos cuatro días, según Anthropic. La compañía precisa que sus propios sistemas no fueron comprometidos: las claves afectadas pertenecían a clientes y habían sido sustraídas de los entornos de estos. El mensaje defensivo es importante: una API key de un modelo de IA debe tratarse como una credencial de producción crítica, no como una simple clave de una herramienta secundaria.
Un atacante individual puede parecer un grupo organizado
GTG-50029 constituye quizá el mejor ejemplo de la reducción de la barrera de entrada. Anthropic describe a un único operador francófono que utilizó IA para atacar partidos políticos europeos, medios de comunicación, think tanks y proveedores SaaS relacionados con estas organizaciones. De 42 entidades seguidas durante la investigación, el atacante habría conseguido acceso interno a al menos 14. Anthropic estima que obtuvo entre 12 y 26 GB de volcados de bases de datos que contenían, entre otra información, datos de miembros y donantes de organizaciones políticas.
Para la compañía, casos como este evidencian que las metodologías avanzadas ya no pertenecen exclusivamente a organizaciones con grandes plantillas. Un individuo suficientemente motivado puede apoyarse en agentes para mantener simultáneamente reconocimiento, desarrollo, explotación y análisis de datos. La inteligencia artificial no solo acelera el ataque, sino que multiplica la capacidad operativa de una sola persona, difuminando la línea entre un actor aislado y un grupo estructurado.
Más allá del ciberataque: vigilancia, influencia y fraude híbrido
El alcance del informe va mucho más allá de los ataques contra sistemas informáticos. Anthropic asegura haber desactivado operaciones de vigilancia vinculadas a actores alineados con Estados, contratistas y proveedores comerciales de tecnologías de vigilancia. En uno de los casos, un único consultor habría utilizado Claude como principal recurso de ingeniería para desarrollar una plataforma de interceptación de comunicaciones destinada a autoridades malienses. La compañía también describe actividades relacionadas con actores chinos e iraníes, sistemas de monitorización de disidentes y herramientas destinadas al seguimiento de personas y organizaciones.
En las campañas de influencia aparece otra tendencia: la IA no solo genera propaganda, sino que ayuda a construir toda la organización necesaria para producirla. Los actores investigados utilizaron los modelos como una especie de redacción automatizada, pero también para crear bases de datos de objetivos, personajes ficticios, manuales de doctrina, sistemas de puntuación, dossiers y reglas destinadas a ocultar la procedencia de determinados contenidos. Anthropic también observó intentos de eliminar advertencias sobre información no verificada, ocultar su atribución original o hacer que narrativas patrocinadas pareciesen proceder de fuentes independientes. No obstante, la compañía subraya un dato importante: gran parte de esas operaciones consiguió escasa audiencia auténtica y algunas pudieron ser interrumpidas antes de obtener una distribución relevante.
El fraude constituye otro vector significativo. El informe detalla una red de aplicaciones de citas falsas en la que personajes controlados mediante IA mantenían conversaciones autónomas con potenciales víctimas. El sistema combinaba perfiles artificiales con trabajadores reales capaces de intervenir cuando era necesaria una videollamada u otra interacción difícil de automatizar. Es una señal de cómo el fraude digital puede evolucionar hacia operaciones híbridas en las que humanos e inteligencia artificial colaboran para hacer más convincente el engaño.
La batalla por robar las capacidades de los propios modelos
Anthropic asegura haber detectado desde febrero campañas de destilación ilícita procedentes de siete laboratorios establecidos en China. La destilación es una técnica legítima cuando un modelo avanzado se utiliza con autorización para entrenar otro sistema. La compañía utiliza el término «ilícita» para referirse a campañas encubiertas y a gran escala destinadas a reproducir sus capacidades sin permiso.
Según Anthropic, estas operaciones utilizan redes de cuentas falsas, tarjetas o credenciales robadas, proxies y servicios de intermediación para conseguir acceso a los modelos. La compañía atribuye además determinadas campañas a compañías chinas y sostiene que, en algunos casos, conversaciones procedentes de usuarios de otros servicios habrían terminado siendo enviadas a Claude para producir datos de entrenamiento. Anthropic afirma que algunas contenían datos personales, información empresarial y credenciales, lo que introduce no solo una cuestión de propiedad intelectual, sino también un riesgo para la privacidad y la seguridad de los usuarios. Estas atribuciones y conclusiones proceden de la investigación de Anthropic y deben entenderse como tales.
Implicaciones prácticas para los equipos de seguridad
El informe no dibuja un escenario en el que las técnicas tradicionales hayan dejado de funcionar. Su principal advertencia puede resultar más incómoda: los ataques conocidos se están volviendo más baratos, rápidos, escalables y accesibles. Para las organizaciones, eso obliga a revisar algunas prioridades.
- Protección de credenciales de IA: Las claves de API y los tokens asociados a servicios de inteligencia artificial deben protegerse, rotarse y monitorizarse como cualquier otra credencial privilegiada. Un token de Claude o de cualquier otro modelo tiene valor directo para los atacantes, tanto para consumo gratuito como para ocultar su actividad.
- Permisos mínimos para agentes: Los agentes de IA necesitan identidades y permisos mínimos, exactamente igual que cualquier otra cuenta de servicio. Un agente con acceso excesivo puede convertirse en un vector de escalada de privilegios si es comprometido.
- Aislamiento de entornos de ejecución: Los entornos donde un modelo puede ejecutar herramientas —sandboxes, notebooks, APIs con capacidad de ejecución de código— requieren aislamiento y controles de salida estrictos para evitar que una solicitud maliciosa se traduzca en una exfiltración de datos.
- Detección basada en comportamiento: La detección debe incorporar comportamiento, identidad y telemetría además de indicadores estáticos. Como demuestran los casos de malware que se recompila para evadir firmas, depender únicamente de hash o patrones conocidos es cada vez más insuficiente.
- Vigilancia de la cadena de suministro de IA: Proxies de modelos, herramientas de agentes, extensiones, repositorios, sandboxes y servicios de terceros amplían una superficie de ataque que muchas organizaciones todavía no han incorporado plenamente a sus modelos de amenazas. Cada punto de integración es un posible punto de compromiso.
La principal transformación provocada por la IA en el cibercrimen no consiste únicamente en crear ataques nuevos, sino en automatizar el trabajo que antes limitaba su escala. Cuando reconocimiento, programación, análisis, explotación y tratamiento de datos pueden delegarse parcialmente a agentes que trabajan en paralelo, el número de personas necesarias para desarrollar una operación sofisticada disminuye considerablemente. Para los equipos defensivos, la respuesta tendrá que seguir la misma dirección: más automatización, mejores controles sobre identidades y agentes y una protección mucho más estricta de toda la infraestructura que rodea a la inteligencia artificial.
