El phishing con IA agéntica crea una nueva disyuntiva de seguridad

Google News destacó el 6 de agosto un análisis de Security Boulevard sobre el phishing con IA agéntica, en el que el software puede ayudar a coordinar ataques en lugar de limitarse a redactar mensajes.

Esa distinción crea el conflicto. La IA generativa ya hace que el phishing sea más rápido, fluido y fácil de personalizar. Los sistemas agénticos pueden conectar la investigación, la creación de mensajes, la entrega y el seguimiento en una secuencia más extensa con menos supervisión humana.

La respuesta defensiva también se está volviendo agéntica. Los proveedores de seguridad quieren sistemas autónomos que investiguen mensajes, correlacionen señales de identidad y contengan cuentas comprometidas. Por tanto, la contienda no es simplemente IA de atacantes contra criterio humano. Es engaño automatizado contra verificación automatizada, con personas que siguen siendo responsables cuando cualquiera de las dos partes comete un error.

Lo que realmente cambió con la noticia de Google News

El cambio importante no es otro correo fraudulento bien elaborado. Es la posibilidad de que un sistema de IA gestione el ataque alrededor de ese correo.

El análisis sobre phishing agéntico destacado por Google News presenta el phishing como un problema de automatización. Ese enfoque va más allá de la conocida advertencia de que los modelos de lenguaje pueden eliminar los errores ortográficos de los mensajes fraudulentos.

Un agente de IA es software capaz de perseguir un objetivo mediante múltiples acciones, herramientas y decisiones. En una campaña de phishing, esas acciones podrían incluir identificar empleados, recopilar información pública, redactar señuelos y adaptar mensajes posteriores.

Un kit de phishing convencional suele seguir un flujo preparado. El operador elige una plantilla, lanza una campaña y espera credenciales o pagos. Algunas herramientas ya automatizan gran parte de ese proceso, pero su comportamiento sigue siendo relativamente fijo.

Un flujo de trabajo agéntico puede responder mejor. Puede evaluar si un objetivo abrió un mensaje, seleccionar un pretexto diferente o trasladar la conversación a otro canal. También podría priorizar objetivos cuyos roles públicos sugieren acceso a dinero, datos o sistemas administrativos.

Esto no significa que los agentes autónomos de phishing estén derrotando por sí solos todos los programas de seguridad maduros. La evidencia pública sigue mostrando que muchos actores maliciosos usan la IA para mejoras ordinarias de productividad. Traducen textos, investigan objetivos, reparan código y preparan contenido convincente.

Las propias conclusiones de inteligencia sobre amenazas de Google establecieron esa cuidadosa distinción en enero de 2025. Los investigadores observaron grupos respaldados por Estados utilizando Gemini para investigación, traducción, resolución de problemas y material de phishing. No vieron que esos actores obtuvieran capacidades fundamentalmente nuevas gracias al modelo.

Ese hallazgo es la referencia esencial. Inicialmente, la IA mejoró la economía de tácticas conocidas en lugar de inventar una nueva categoría de ataque. Los atacantes podían crear más variantes, trabajar en varios idiomas y reducir el trabajo necesario para la personalización.

La IA agéntica plantea la siguiente pregunta. ¿Qué sucede cuando esas mejoras de productividad se conectan con herramientas capaces de ejecutar acciones y mantener el estado de una campaña?

La respuesta importa porque el phishing rara vez consiste en un único mensaje aislado. Una operación exitosa puede implicar reconocimiento, suplantación, captura de credenciales, acceso a cuentas, descubrimiento interno y otra ronda de ingeniería social.

Un agente no necesita un razonamiento perfecto para contribuir a esa cadena. Solo necesita completar suficientes pasos rutinarios y escalar las decisiones inciertas a un operador humano. Esa disposición mantiene a los atacantes en control al tiempo que multiplica el número de objetivos que pueden gestionar.

Por tanto, la publicación de Google News apunta a un cambio en la escala operativa. La unidad relevante ya no es la calidad de un solo correo. Es el número de interacciones creíbles que un atacante puede coordinar al mismo tiempo.

Ese cambio también modifica lo que los defensores deben observar. La gramática, la reputación del remitente y los enlaces maliciosos siguen siendo señales útiles. Se vuelven menos decisivas cuando un atacante puede variar el contenido, utilizar servicios legítimos y continuar una conversación a través de varios canales.

La pregunta de seguridad más sólida ahora es más amplia: ¿la acción solicitada encaja con el usuario, el dispositivo, la aplicación, la relación y el proceso de negocio implicados? Un mensaje puede parecer auténtico y, aun así, no superar esa prueba contextual.

El phishing con IA presiona los controles de identidad, no solo los filtros de correo

La IA agéntica ejerce la mayor presión sobre los sistemas que tratan un inicio de sesión exitoso o una voz familiar como prueba suficiente de identidad.

Las defensas de correo siguen siendo una capa importante, pero los atacantes se dirigen cada vez más a la persona y a la cuenta que hay detrás de la bandeja de entrada. Un mensaje creíble puede convencer a alguien de entregar credenciales, aprobar un inicio de sesión, cambiar datos de pago o revelar información sensible.

El FBI ha advertido que los delincuentes usan IA para crear mensajes de phishing convincentes y audio o video clonados. Su advertencia sobre fraude con IA señala que los mensajes generados pueden incluir gramática correcta y una personalización convincente.

Estas mejoras eliminan varias señales que se enseñaban en programas de concienciación más antiguos. Un empleado ya no puede asumir que una redacción torpe, una puntuación extraña o una mala traducción revelarán una solicitud fraudulenta.

La clonación de voz debilita otra prueba familiar. Escuchar a un gerente, cliente o familiar antes parecía una confirmación independiente. El audio generado convierte ese reconocimiento en una afirmación que requiere otro canal de verificación.

En mayo de 2025, el FBI también describió una campaña que suplantaba a altos funcionarios de Estados Unidos mediante mensajes de texto maliciosos y mensajes de voz generados por IA. La agencia aconsejó a los destinatarios verificar las identidades y evitar asumir que una voz familiar demuestra autenticidad.

Una campaña agéntica puede combinar estos canales. Un correo puede establecer la historia, mientras que un mensaje de voz añade urgencia. Un mensaje de texto posterior puede proporcionar nuevas instrucciones después de que el objetivo vacile.

Cada interacción refuerza las demás. Eso crea una narrativa que parece más creíble que un mensaje aislado, incluso cuando todos los componentes fueron generados o coordinados por software.

Los equipos de identidad afrontan primero la presión resultante. Si las credenciales robadas siguen siendo suficientes para acceder a una cuenta, una mejor detección de mensajes solo reduce una parte del riesgo. Si una mesa de ayuda restablece la autenticación después de una llamada convincente, la tecnología de inicio de sesión resistente al phishing todavía puede verse socavada.

Los equipos de finanzas, recursos humanos, soporte ejecutivo y mesas de servicio de TI están especialmente expuestos. Reciben habitualmente solicitudes urgentes relacionadas con acceso, registros personales, pagos o cambios de cuentas. Su trabajo también recompensa la resolución rápida, algo que los atacantes explotan.

La respuesta obligada es verificar las acciones importantes, no solo el contenido entrante. Las organizaciones necesitan controles que sigan siendo eficaces cuando un mensaje parece pulido y el remitente parece familiar.

La autenticación multifactor resistente al phishing ayuda porque vincula la autenticación al servicio legítimo. Las llaves de seguridad de hardware y las passkeys pueden impedir que una página de inicio de sesión falsa recopile un secreto de autenticación reutilizable.

La guía sobre MFA de CISA recomienda métodos resistentes al phishing cuando sea posible. También sugiere la coincidencia de números cuando las organizaciones no pueden sustituir inmediatamente la autenticación más débil basada en notificaciones push o SMS.

Esa medida aborda el robo de credenciales, pero no aprueba facturas ni valida transferencias de datos sensibles. Los procesos empresariales requieren sus propias salvaguardas. Un cambio de pago podría necesitar confirmación mediante un número conocido del directorio y la aprobación de un segundo empleado.

Las mesas de ayuda necesitan límites similares. Una persona que llama de forma convincente no debería poder eludir las reglas de recuperación porque conoce datos personales. Las biografías públicas, las publicaciones sociales, los datos filtrados y las voces generadas hacen que las preguntas basadas en conocimiento sean poco fiables.

Las organizaciones también deben reducir la exposición innecesaria. Los calendarios públicos, las páginas detalladas de personal, las grabaciones de reuniones y las descripciones de roles pueden ayudar a un agente a trazar relaciones. Esa misma información hace más creíble un pretexto personalizado.

Esta presión persistirá porque la economía favorece los intentos repetidos. Un atacante no necesita que todos los mensajes tengan éxito. La automatización se vuelve valiosa cuando reduce el coste de probar objetivos, historias, idiomas y canales de entrega.

Por tanto, el objetivo defensivo no es una clasificación perfecta del contenido. Es evitar que una interacción persuasiva se convierta en una acción empresarial autenticada e irreversible.

La disyuntiva central es automatización frente a verificación

Los defensores necesitan la velocidad de la IA, pero no pueden permitir que un sistema de seguridad autónomo se convierta en otro responsable de decisiones sin verificar.

Los equipos de operaciones de seguridad ya afrontan más alertas de las que los analistas pueden investigar manualmente. Un agente de IA puede recopilar encabezados de mensajes, inspeccionar URL, revisar eventos de autenticación y comparar la actividad con incidentes anteriores.

Ese flujo de trabajo puede reducir las tareas repetitivas. También puede contener una amenaza más rápido que un proceso basado en colas. La velocidad importa cuando un buzón comprometido empieza a enviar señuelos adicionales a colegas de confianza.

Microsoft afirma que su modelo de phishing basado en lenguaje opera desde abril de 2025. Según el modelo de seguridad de correo de la empresa, bloquea un millón de correos de phishing al día con una precisión superior al 99,99 por ciento.

Son resultados comunicados por el proveedor, no una medida universal de la defensa contra el phishing. La precisión también depende de los datos evaluados, el umbral operativo, la combinación de ataques y la definición de una clasificación correcta.

Incluso una tasa de error pequeña puede importar a escala empresarial. Un falso negativo puede exponer a un empleado. Un falso positivo puede bloquear a un proveedor legítimo, una solicitud ejecutiva o una conversación con un cliente urgente.

La defensa agéntica añade consecuencias a la clasificación. Un sistema podría aislar un dispositivo, revocar una sesión, deshabilitar una cuenta o eliminar mensajes de muchas bandejas de entrada. Esas acciones pueden detener un ataque, pero una decisión incorrecta puede interrumpir las operaciones empresariales.

Eso crea la disyuntiva central del artículo. Los defensores deben automatizar lo suficiente para igualar los ataques a velocidad de máquina, al tiempo que preservan pruebas, supervisión y vías de recuperación.

El diseño más seguro separa la confianza de la autoridad. Un agente puede recopilar pruebas con baja confianza, recomendar contención con confianza media y realizar acciones limitadas cuando varias señales independientes coinciden.

Las acciones irreversibles merecen un umbral más alto. Eliminar pruebas, deshabilitar cuentas críticas o cambiar políticas de acceso debería requerir aprobación adicional. El límite adecuado depende del sistema afectado y del coste de la demora.

Los atacantes enfrentan menos restricciones. Su agente puede reintentar, abandonar un objetivo o cambiar de táctica sin documentar el motivo. Los defensores deben seguir rindiendo cuentas ante empleados, clientes, auditores y reguladores.

Esta asimetría impide que los equipos de seguridad traten el problema como una simple carrera entre modelos. Un agente defensivo necesita controles de permisos, restricciones de herramientas, registros y un comportamiento de escalado predecible. Unas puntuaciones altas de detección por sí solas no proporcionan esas salvaguardas.

Las propias entradas del agente también requieren protección. Un correo electrónico malicioso puede contener instrucciones diseñadas para manipular a un sistema de IA que lo revisa. La inyección de prompts ocurre cuando contenido no confiable intenta desviar a un modelo de su tarea prevista.

Por ejemplo, un mensaje podría indicarle a un revisor automatizado que lo clasifique como seguro o que ignore pruebas posteriores. Un sistema bien diseñado debe tratar el contenido del mensaje como datos, no como instrucciones operativas confiables.

El acceso a herramientas hace que esta distinción sea crítica. Un error de resumen es inconveniente. Un agente que sigue instrucciones maliciosas mientras cuenta con privilegios de gestión de cuentas puede provocar un nuevo incidente de seguridad.

Por lo tanto, la arquitectura defensiva debe asumir que cada mensaje, archivo adjunto, página y transcripción puede contener contenido adversarial. El agente necesita permisos estrictamente delimitados y reglas explícitas que rijan qué información puede desencadenar una acción.

La verificación independiente también es importante. La autenticación del remitente, la postura del dispositivo, el historial de inicio de sesión, los datos de directorio y el contexto de la transacción pueden corroborar o contradecir el mensaje. Ningún juicio de un único modelo debe asumir toda la decisión.

La revisión humana sigue siendo útil cuando las pruebas son ambiguas o la consecuencia es grave. Sin embargo, enviar todos los casos difíciles a analistas simplemente recrea el cuello de botella de alertas.

El mejor equilibrio es la intervención selectiva. Los agentes gestionan la recopilación de pruebas y la contención rutinaria, mientras que las personas evalúan relaciones inusuales, pagos importantes, suplantaciones de ejecutivos y señales contradictorias.

Así es como la automatización se convierte en una ventaja defensiva sin entregar la confianza a otro sistema opaco. El objetivo no es eliminar a las personas de la seguridad. Es situar el juicio humano donde el contexto y la responsabilidad son más importantes.

Lo que la evidencia actual no demuestra sobre el phishing con IA agéntica

El riesgo es creíble, pero los registros públicos no respaldan tratar todas las campañas de phishing sofisticadas como operaciones totalmente autónomas.

El marketing de seguridad suele condensar varias capacidades distintas en el término IA agéntica. Un flujo de trabajo programado, un correo electrónico escrito con IA y un sistema autónomo que utiliza herramientas no son equivalentes. Sus riesgos operativos también difieren.

Un modelo de lenguaje puede redactar cientos de mensajes sin controlar su envío ni el seguimiento. Una plataforma de automatización puede programar esos mensajes sin razonar sobre los resultados. Un verdadero flujo de trabajo agéntico toma decisiones basadas en la retroalimentación y emprende acciones adicionales para alcanzar un objetivo.

Determinar qué modelo utilizó un atacante es difícil desde el lado de la víctima. Un mensaje fluido no revela si un agente investigó al destinatario. Una secuencia coordinada aún podría reflejar a un operador humano que utiliza herramientas ordinarias de campañas.

Los investigadores de amenazas de Google detectaron un uso significativo de IA entre grupos respaldados por gobiernos, pero lo describieron principalmente como una aceleración. Su investigación no mostró que los modelos crearan capacidades ofensivas antes inexistentes.

Esa evidencia va en contra de la interpretación más dramática del phishing con IA agéntica. Los atacantes están ganando eficiencia, cobertura lingüística y escala. Los informes públicos ofrecen menos evidencia de que agentes autónomos puedan ejecutar campañas complejas de forma fiable sin dirección humana.

La fiabilidad sigue siendo una limitación práctica. Los agentes pueden malinterpretar páginas, perder el seguimiento del estado, elegir pretextos débiles o revelar su automatización mediante detalles incoherentes. Los atacantes pueden tolerar estos fallos, pero las operaciones dirigidas siguen beneficiándose de la revisión humana.

El acceso es otra limitación. Un modelo no puede llegar automáticamente a sistemas corporativos, canales de comunicación o cuentas robadas. Los operadores aún necesitan infraestructura, credenciales, métodos de entrega y formas de monetizar una intrusión.

Las salvaguardas también afectan a los modelos convencionales. Google informó de que varios intentos maliciosos de obtener ayuda con malware o abuso de cuentas generaron respuestas guiadas por la seguridad. Los actores decididos pueden buscar otros modelos, pero el acceso a un modelo capaz no garantiza una ejecución sin restricciones.

Estas limitaciones deberían orientar el gasto defensivo. Las organizaciones no deberían comprar una etiqueta de “agéntico” sin examinar las entradas de detección, los controles de acción, los datos de prueba y el proceso de reversión que hay detrás.

Deberían preguntar si un producto puede distinguir una solicitud riesgosa de una inusual pero legítima. También deberían preguntar cómo se comporta el sistema cuando las pruebas entran en conflicto, un modelo deja de estar disponible o un atacante inserta instrucciones en contenido inspeccionado.

La medición plantea otro problema. Un proveedor puede informar una alta precisión de clasificación mientras prueba un conjunto de datos equilibrado que difiere del tráfico real. En producción, los mensajes legítimos superan ampliamente a los ataques confirmados, lo que cambia el significado operativo de los falsos positivos.

Los equipos de seguridad necesitan mediciones vinculadas a resultados. Los indicadores útiles incluyen envíos de credenciales evitados, sesiones comprometidas revocadas, reglas maliciosas de buzón eliminadas y transacciones fraudulentas detenidas.

El tiempo también importa. Un modelo que detecta una campaña después de varias horas podría obtener una buena puntuación en un laboratorio, pero no impedir la toma de control de una cuenta. Por ello, la velocidad de investigación debe medirse junto con la calidad de clasificación.

El factor humano también sigue siendo incierto. Simulaciones más convincentes no producen automáticamente una mejor formación. Las pruebas excesivamente engañosas pueden erosionar la confianza, especialmente cuando imitan emergencias personales o explotan información sensible de empleados.

La formación debe reforzar procedimientos verificables en lugar de enseñar a los trabajadores a detectar medios sintéticos por intuición. Los artefactos visuales y los patrones de habla inusuales cambiarán a medida que mejoren los modelos. Un proceso fiable de devolución de llamada o aprobación puede mantenerse estable.

El artículo destacado a través de Google News resulta más útil como advertencia sobre la dirección que como prueba de una autonomía total de los atacantes. Los sistemas agénticos hacen que el phishing coordinado sea más plausible y más barato de intentar. El alcance de la ejecución autónoma en el mundo real aún requiere pruebas independientes.

Esta distinción escéptica no reduce la necesidad de prepararse. Evita que las organizaciones respondan a un problema de seguridad medible con promesas vagas y automatización sin probar.

Tres señales que mostrarán si la defensa agéntica está funcionando

La siguiente fase se decidirá por resultados verificados de incidentes, la adopción de identidades resistentes al phishing y pruebas de que los agentes de seguridad resisten la manipulación.

La primera señal es una mejor divulgación pública de incidentes. Los proveedores de seguridad y las organizaciones afectadas deberían documentar dónde actuó un agente de IA, qué herramientas utilizó y cuánto control humano se mantuvo.

Un incidente detallado distinguiría el contenido generado de la ejecución autónoma. También revelaría si el agente se adaptó a intentos fallidos, cambió de canales o seleccionó nuevos objetivos basándose en la retroalimentación.

Anthropic ofreció un modelo de esta transparencia cuando describió una campaña de espionaje con IA. La empresa afirmó que los atacantes utilizaron capacidades agénticas para realizar partes sustanciales de una intrusión, mientras mantenían supervisión humana en etapas clave.

Ese informe trata sobre ciberespionaje, no sobre phishing convencional. Aun así, proporciona el tipo de detalle técnico necesario para evaluar afirmaciones sobre ataques autónomos.

Más pruebas de phishing adaptativo que utiliza herramientas reforzarían el argumento de que los equipos de seguridad se enfrentan a un nuevo modelo operativo. La evidencia continua de campañas lideradas por humanos con asistencia de IA respaldaría la explicación más acotada basada en la eficiencia.

La segunda señal es la adopción de autenticación resistente al phishing y verificación de transacciones. Las organizaciones deberían hacer seguimiento de cuántas cuentas sensibles dependen de passkeys o credenciales respaldadas por hardware, en lugar de contraseñas reutilizables y códigos SMS.

También deberían medir si los cambios de pago, las solicitudes de recuperación y las acciones privilegiadas requieren verificación fuera del mensaje solicitante. Estos controles determinan si un señuelo convincente puede producir un resultado perjudicial.

Una disminución de las tomas de control de cuentas exitosas tras esos cambios debilitaría la ventaja del atacante. Una adopción estancada y la dependencia continua de voces conocidas o preguntas personales dejarían intacto el problema subyacente de confianza.

La tercera señal son las pruebas independientes de agentes defensivos. Las evaluaciones deberían poner a prueba contenido malicioso, pruebas contradictorias, solicitudes legítimas inusuales, fallos de herramientas e intentos de manipular al agente mediante inyección de prompts.

Una evaluación útil debe examinar las acciones, no solo las respuestas. ¿El agente preservó las pruebas, respetó los límites de permisos, escaló los casos correctos y evitó interrumpir el trabajo legítimo?

Los resultados también deberían separar las afirmaciones de los proveedores del rendimiento reproducido de forma independiente. Sin esa distinción, los compradores no pueden comparar sistemas ni estimar el coste operativo de los errores.

Superar esas pruebas reforzaría el argumento a favor de la defensa agéntica. Los fallos repetidos relacionados con permisos excesivos, rastros de auditoría débiles o gestión insegura de prompts mostrarían que los defensores están añadiendo automatización más rápido que control.

La respuesta inmediata no requiere esperar a un agente de seguridad perfecto. Los equipos pueden inventariar flujos de trabajo sensibles, sustituir la autenticación débil, definir procedimientos de devolución de llamada y limitar lo que un solo empleado o cuenta puede autorizar.

También pueden probar los manuales de respuesta a incidentes frente a un escenario coordinado. Una simulación podría combinar un correo electrónico personalizado, un mensaje de voz clonado, una página de inicio de sesión falsa y una llamada fraudulenta al servicio de asistencia.

El propósito no es lograr que los empleados identifiquen cada artefacto sintético. Es comprobar si los controles técnicos y empresariales detienen la secuencia después de que falle una capa.

Los trabajadores del conocimiento deberían tratar la urgencia inesperada como un desencadenante de verificación, especialmente cuando una solicitud modifica el acceso, el dinero o los datos confidenciales. Los equipos de seguridad deberían hacer que la vía de verificación segura sea más rápida que la improvisación.

La lección duradera de esta historia de Google News es que la autenticidad ya no puede basarse en la presentación. El lenguaje fluido, un remitente conocido y una voz reconocible son señales reproducibles.

Las organizaciones deberían plantearse ahora una pregunta más duradera: ¿Qué prueba independiente autoriza esta acción? Empiecen con un flujo de trabajo sensible, rastreen cada decisión de confianza y eliminen cualquier paso en el que la familiaridad por sí sola funcione como aprobación. Ese ejercicio revelará si sus defensas abordan el phishing con IA agéntica o simplemente filtran sus mensajes más evidentes.