La Agencia Española de Protección de Datos (AEPD) comunicó el 14 de septiembre de 2026 la recepción de la primera notificación formal de una brecha de datos personales ejecutada mediante un agente de inteligencia artificial conectado a un modelo de lenguaje. El incidente no implica necesariamente que sea el primer ataque de este tipo en España ni que el modelo subyacente estuviera comprometido, pero el patrón descrito marca un punto de inflexión: el agente buscó vulnerabilidades de forma autónoma, inició sesión correctamente, exploró debilidades en la aplicación y modificó datos personales y facturas con una intervención humana mínima. Durante años se debatió si la IA ayudaría a redactar mejor un phishing o generar código malicioso. La pregunta que emerge ahora es más incómoda y estratégica: ¿qué ocurre cuando el atacante puede delegar partes enteras de la operación en agentes que observan, prueban, interpretan resultados y deciden el siguiente paso? La respuesta condiciona el futuro de la ciberseguridad, porque la velocidad a la que opera la ofensiva ya no es humana.
No es una vulnerabilidad nueva: es un cambio de velocidad
El mayor riesgo de la IA ofensiva no reside en la invención de técnicas desconocidas. La mayoría de los incidentes siguen explotando problemas perfectamente familiares: credenciales válidas que no deberían estar disponibles, software sin parchear, configuraciones inseguras, servicios expuestos, permisos excesivos o aplicaciones vulnerables. Lo que la inteligencia artificial transforma es la velocidad con la que un adversario encuentra y combina esas oportunidades. Un atacante humano tiene un límite inevitable: su tiempo. Debe reconocer infraestructura, revisar respuestas, probar caminos, corregir errores, adaptar herramientas y decidir el siguiente paso. Un agente automatiza gran parte de ese ciclo, lo repite de forma persistente y ejecuta tareas en paralelo. El resultado no es necesariamente un ataque más creativo, sino uno mucho más barato, constante y escalable.
El Bank for International Settlements (BIS) resumió en julio de 2026 una de las claves de esta carrera: los modelos de frontera aumentan la velocidad, la escala y la complejidad de los ciberataques, y también fortalecen la defensa, pero los costes de ambos lados son asimétricos y pueden favorecer a los atacantes. La IA reduce el coste marginal de intentar una nueva vía de entrada. Si probar cien objetivos cuesta mucho menos que antes, la presión sobre organizaciones que revisan, validan y corrigen cada hallazgo con procesos humanos se intensifica. No es que el ataque sea más inteligente; es que el atacante puede permitirse fallar más veces por menos inversión.
La ofensiva convierte el hacking en un problema de escala
Los datos publicados por Anthropic en su informe de amenazas de septiembre de 2026 muestran esta evolución desde el uso del modelo como asistente hacia su empleo como orquestador. La compañía describe operaciones en las que actores maliciosos utilizaron Claude para sostener campañas contra múltiples víctimas, automatizar reconocimiento y apoyar distintas etapas de intrusión. Anthropic advierte además de que la sofisticación técnica deja de ser un indicador fiable del nivel de recursos del adversario, porque los modelos avanzados reducen la distancia entre un operador individual y capacidades que antes exigían equipos especializados. En otras palabras, un atacante solitario con acceso a un buen modelo puede comportarse como un equipo pequeño y coordinado.
Google Threat Intelligence Group observa la misma dirección, aunque introduce una cautela importante. En su informe «From Prompting to Autonomy: The Evolution of Adversarial AI», publicado el 8 de septiembre de 2026, Google describe adversarios que ya incorporan flujos agénticos y automatización avanzada. Entre los casos observados figura una campaña en la que, tras comprometer un recurso cloud, los atacantes planificaron, construyeron y ejecutaron un sistema masivo de recolección de credenciales en menos de seis horas. Google también identificó frameworks capaces de gestionar escaneo de vulnerabilidades, resolver errores operativos y organizar decenas de miles de secretos robados. Sin embargo, Google no afirma que la explotación completamente autónoma de extremo a extremo sea ya la norma. Señala que todavía no ha observado de forma generalizada en operaciones reales pipelines totalmente autónomos que descubran un zero-day y ejecuten toda la intrusión sin intervención humana. Esa distinción es crucial: la amenaza no necesita alcanzar una autonomía perfecta para ser disruptiva. Basta con que la IA elimine horas de trabajo manual, permita lanzar más operaciones simultáneas y reduzca la latencia entre una decisión y la siguiente.
El atacante solo necesita una puerta; el defensor debe vigilar muchas
La ciberseguridad siempre ha padecido una asimetría fundamental. El atacante necesita descubrir un camino que funcione; el defensor debe intentar cerrar todos los caminos razonables sin detener el negocio. Una contraseña reutilizada, una API olvidada, una cuenta con privilegios excesivos o un servidor sin parchear pueden bastar. Un adversario puede fallar noventa y nueve veces y tener éxito en el intento número cien; la organización puede proteger correctamente noventa y nueve vectores y sufrir la brecha por el que quedó abierto. La inteligencia artificial amplifica esa capacidad de búsqueda. Un agente no se cansa de probar, correlacionar y volver a intentarlo. Cuando además trabaja en paralelo con otros agentes, el problema deja de ser únicamente la sofisticación de cada ataque y pasa a ser el volumen de experimentos ofensivos que pueden ejecutarse simultáneamente.
La Comisión Europea, en su Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial de julio de 2026, aborda precisamente esta aceleración y el riesgo de que los ciclos tradicionales de defensa no sigan el ritmo de las capacidades basadas en IA. La cuestión ya no es solo cuántas vulnerabilidades existen, sino cuánto tiempo transcurre desde que una debilidad puede descubrirse hasta que alguien consigue explotarla y cuánto necesita la organización para corregirla. Ese mismo problema aparece con claridad en el trabajo del BIS publicado el 9 de septiembre de 2026, titulado «When machines attack». El informe señala que los modelos de frontera pueden identificar vulnerabilidades críticas, desarrollar exploits y encadenar operaciones complejas con una reducción significativa del conocimiento, el tiempo y los recursos necesarios. Para las instituciones financieras, uno de los efectos más preocupantes es la compresión de la ventana de remediación: el periodo entre descubrimiento y explotación puede reducirse drásticamente, obligando a parchear, probar y desplegar correcciones bajo una presión temporal mayor.
Encontrar una vulnerabilidad empieza a ser más rápido que corregirla
Aquí aparece una de las mayores ventajas tácticas del lado ofensivo. Para un agente atacante, una pregunta puede ser tan simple como: «¿hay algo explotable aquí?». Si un camino falla, prueba otro. Para el defensor, la existencia de una vulnerabilidad activa una cadena mucho más pesada: reproducir el fallo, determinar su criticidad, conocer los activos afectados, analizar dependencias, obtener o desarrollar una corrección, probarla, autorizar el cambio, desplegarlo y comprobar que no ha roto producción. Las dos tareas no cuestan lo mismo. Tampoco toleran el mismo nivel de error. Un atacante puede lanzar cientos de pruebas defectuosas; una empresa no puede aplicar cientos de cambios improvisados a sistemas críticos. Por eso la IA puede beneficiar a ambos bandos y, aun así, producir una ventaja inmediata para el atacante: la ofensiva puede adoptar autonomía con menos restricciones operativas que la defensa.
La defensa juega en casa, pero necesita velocidad
Declarar ganadora a la IA ofensiva sería, sin embargo, un error. El defensor posee una ventaja estructural extraordinaria: conoce el terreno. Tiene acceso a identidades, endpoints, correo, red, aplicaciones, logs, telemetría cloud, inventario, relaciones entre activos y patrones históricos de comportamiento. El atacante debe reconstruir ese contexto desde fuera; la organización ya lo posee. Una defensa bien integrada puede saber que una cuenta que normalmente trabaja desde una ubicación y horario concretos está accediendo a un repositorio inusual, ejecutando comandos que nunca había utilizado y descargando un volumen anómalo de información. Ninguna de esas señales aisladas justifica una respuesta por sí sola. Juntas pueden permitir detectar una intrusión antes de que el adversario complete su objetivo. La inteligencia artificial es especialmente potente en ese terreno: puede correlacionar cantidades de señales que desbordan a un equipo humano y convertir eventos dispersos en una hipótesis de ataque. Pero esa ventaja solo se materializa si la detección conduce a una acción suficientemente rápida.
Imaginemos que un sistema detecta actividad sospechosa a las 02:13. La alerta entra en una cola, un analista la revisa media hora después, solicita contexto adicional, escala el incidente y espera autorización para bloquear una cuenta. En un modelo tradicional, ese proceso puede ser razonable. Frente a un agente ofensivo que sigue probando caminos mientras espera, cada minuto se convierte en espacio operativo para el adversario. Ese es el problema que Microsoft intenta resolver con su concepto de Agentic SOC: combinar controles deterministas capaces de interrumpir amenazas de alta confianza a velocidad de máquina con agentes que investigan, correlacionan señales y coordinan tareas, dejando a las personas el juicio, el riesgo y las decisiones más ambiguas. Según cifras de la propia Microsoft, sus mecanismos de interrupción autónoma contienen determinados ataques de ransomware en una media de tres minutos y sus agentes internos automatizan una parte importante de las investigaciones de phishing y malware. Son datos de proveedor y deben leerse como tales, pero ilustran el tipo de respuesta que empieza a necesitar la defensa.
La verdadera carrera: autonomía contra autonomía
Quizá estamos formulando mal la competición. No se trata simplemente de IA ofensiva contra IA defensiva. La confrontación real es entre atacantes que pueden delegar cada vez más acciones en sistemas autónomos y organizaciones cuya respuesta continúa dependiendo de flujos de aprobación, equipos fragmentados y tareas manuales. Para un atacante, permitir autonomía es relativamente sencillo. Su objetivo es conseguir acceso, persistir, escalar privilegios o extraer información. Si una prueba falla o un servicio se rompe, el impacto empresarial de ese error no recae sobre él. Para el defensor ocurre lo contrario. Una IA que bloquee por error la cuenta de un administrador, aísle un servidor de producción o modifique una regla crítica puede causar un incidente por sí misma. La prudencia defensiva es necesaria, pero introduce latencia. La ventaja futura probablemente dependerá de qué organizaciones sean capaces de automatizar no solo la detección, sino también la respuesta de alta confianza. El salto importante no será añadir un chatbot al SIEM, sino reducir el tiempo entre señal, decisión y acción.
Autonomía sí, pero con límites y gobernanza
La respuesta tampoco puede consistir en entregar sin restricciones las llaves del SOC a un modelo. Cuanto mayor es la capacidad de actuar de un agente, mayor es también su superficie de riesgo. Los propios agentes pueden sufrir prompt injection, abuso de herramientas, exceso de privilegios o manipulación de sus fuentes de contexto. Una decisión equivocada puede propagarse a gran velocidad. Microsoft explica este problema en su análisis «Defense in depth for autonomous AI agents», publicado el 14 de mayo de 2026, donde plantea que la seguridad de los agentes debe centrarse no solo en el modelo, sino en cómo se ensamblan, se limitan y se gobiernan dentro de aplicaciones reales. Para un SOC, eso implica identidades específicas para los agentes, mínimo privilegio, registro completo de acciones, límites de herramientas, políticas deterministas para operaciones sensibles, supervisión humana en decisiones de alto impacto y mecanismos claros de rollback. La defensa agéntica más madura probablemente no será la que automatice todo, sino la que sepa distinguir qué puede automatizar con confianza y qué debe escalar a una persona. Revocar una sesión claramente comprometida puede ser una acción automática razonable; apagar un servicio crítico basándose en una señal ambigua probablemente exija otro nivel de validación.
La próxima gran métrica de seguridad será el tiempo
Durante años las organizaciones han medido vulnerabilidades, alertas, incidentes, cobertura de EDR, cumplimiento de parches y tiempos medios de detección. Todas esas métricas siguen siendo relevantes. Pero la llegada de agentes ofensivos hace que una variable adquiera todavía más importancia: cuánto tarda la organización en transformar una señal en una acción efectiva. No basta con detectar en segundos si la contención tarda horas. Tampoco basta con tener una herramienta que «usa IA» si su recomendación termina esperando en la misma cola operativa de siempre. En un escenario donde el adversario puede ejecutar decenas de movimientos durante el tiempo que tarda una empresa en aprobar una respuesta, la latencia defensiva deja de ser un simple indicador de eficiencia y se convierte en un factor de exposición. La capacidad de respuesta a velocidad de máquina no es un lujo tecnológico; es un requisito de supervivencia operativa.
¿Quién va ganando a septiembre de 2026?
A día de hoy, la ofensiva parece disfrutar de una ventaja táctica clara en tres dimensiones: velocidad, escala y coste. La IA permite probar más caminos, trabajar en paralelo y reducir el esfuerzo necesario para ejecutar determinadas tareas. Además, el atacante puede asumir niveles de riesgo y autonomía que una empresa responsable no puede aceptar en producción. La defensa, sin embargo, conserva ventajas estructurales formidables: posee el contexto, controla las identidades, dispone de la telemetría y puede interrumpir directamente la actividad dentro de su infraestructura. Si consigue conectar esas ventajas con automatización fiable y capacidad de respuesta a velocidad de máquina, la asimetría puede reducirse. Por eso el ganador no será necesariamente quien tenga el modelo más inteligente. Será quien convierta antes la inteligencia en acción. Una IA defensiva excelente que necesita cinco aprobaciones para contener un incidente puede perder frente a un agente ofensivo menos sofisticado que simplemente puede seguir trabajando sin interrupción.
De copilotos a operadores digitales
La primera etapa de la IA generativa estuvo dominada por la idea del copiloto: una herramienta que ayudaba a programar, redactar, investigar o analizar alertas mientras la persona seguía al mando. Los agentes modifican esa relación. En lugar de recibir instrucciones para cada paso, pueden recibir un objetivo, utilizar herramientas, interpretar resultados y decidir qué acción ejecutar a continuación. Eso no significa que estemos ya ante ciberataques completamente independientes del ser humano ni que la autonomía total sea la norma. Significa algo quizá más relevante para la gestión de riesgos: la cantidad de intervención humana necesaria para sostener una operación empieza a reducirse. Y cuando baja el coste humano por ataque, cambia la economía completa del conflicto. El caso comunicado a la AEPD es importante precisamente por eso. No porque haya descubierto una técnica imposible hasta ahora, sino porque muestra cómo un agente puede encadenar tareas que tradicionalmente requerían atención continua de un operador. Para los responsables de seguridad, esa señal debería ser suficiente para revisar escenarios de amenaza, controles de identidad, velocidad de parcheo y capacidad de respuesta automatizada.
La pregunta ya no es si la inteligencia artificial puede ayudar a un ciberdelincuente. Tampoco si un agente puede ejecutar partes de una intrusión. La pregunta que importa ahora es mucho más operativa: cuando el próximo agente empiece a recorrer nuestra infraestructura a velocidad de máquina, ¿seguiremos respondiendo a velocidad humana? En esa diferencia de tiempo puede decidirse buena parte de la próxima carrera de la ciberseguridad.
