Los agentes de IA crean nuevas vías de ciberataque
El cambio de Engadget en su cobertura de ciberseguridad refleja un conflicto que se volvió más difícil de ignorar en 2026. Los sistemas de IA ahora ayudan a encontrar vulnerabilidades, preparar ataques y operar herramientas con menor intervención humana.
El peligro inmediato no es un hacker máquina omnisciente. Es un agente que puede inspeccionar software de forma repetida, probar posibles debilidades y adaptar su siguiente acción. Esa combinación comprime un trabajo que antes exigía mucho tiempo y mano de obra especializada.
Este cambio presiona a ambos lados de la ciberseguridad. Los atacantes pueden automatizar una mayor parte del proceso de intrusión, mientras los defensores obtienen herramientas más rápidas para revisar código y encontrar fallos. La competencia ahora se centra en qué lado puede validar los hallazgos y actuar primero.
Engadget desplaza el enfoque de la asistencia de IA a la acción de IA
El cambio importante es que la IA ha pasado de asesorar a los operadores de seguridad a ejecutar partes conectadas de su trabajo.
Los equipos de seguridad llevan años utilizando aprendizaje automático. Los sistemas anteriores normalmente clasificaban malware, puntuaban alertas o detectaban actividad inusual en la red. Sus resultados seguían pasando por un flujo de trabajo controlado por humanos.
La IA generativa amplió ese papel. Un modelo podía explicar código sospechoso, redactar un mensaje de phishing o sugerir comandos para probar un servidor. Sin embargo, normalmente una persona tenía que copiar el resultado, ejecutar el comando, inspeccionar el resultado y elegir el siguiente paso.
Los agentes de IA reducen esas pausas. Un agente es un modelo conectado a herramientas y autorizado a seleccionar acciones a lo largo de varios pasos. Puede leer un resultado, actualizar su plan y llamar a otra herramienta sin esperar una nueva instrucción humana.
Esa distinción da urgencia a la advertencia sobre ciberseguridad que sustenta la historia de Engadget. El riesgo procede de la acción repetida, no simplemente de mejores respuestas dentro de una ventana de chat.
Un agente capaz puede escanear un objetivo, interpretar un error, modificar una carga útil y documentar lo que funcionó. Ninguna de esas acciones es completamente nueva. Automatizar su coordinación cambia la velocidad y el coste de todo el proceso.
Anthropic describió esta transición tras investigar una campaña de ciberespionaje detectada en septiembre de 2025. Según la empresa, un actor de amenazas utilizó Claude Code con herramientas externas de seguridad para automatizar partes sustanciales de su operación.
La empresa caracterizó el incidente como la primera campaña de ciberespionaje reportada y orquestada en gran medida mediante IA. Esa descripción sigue siendo una evaluación de la empresa, no una clasificación universal aceptada por todos los investigadores de seguridad.
Anthropic también reconoció una limitación importante. El modelo a veces inventaba credenciales o afirmaba haber encontrado información que era de acceso público. Los operadores humanos aún necesitaban verificar los resultados y redirigir el sistema.
Esa limitación importa porque separa el peligro actual de la especulación. Los agentes actuales pueden cometer errores costosos, perder contexto y malinterpretar resultados. Sin embargo, incluso un agente poco fiable puede multiplicar los intentos de un atacante.
El mismo principio ya moldea la investigación legítima en seguridad. Un modelo no necesita tener un juicio perfecto para resultar útil. Solo necesita reducir suficiente trabajo repetitivo para que un operador cualificado pueda investigar más objetivos.
El resultado es un ritmo operativo distinto. Los equipos de seguridad deben asumir que el reconocimiento, las pruebas de vulnerabilidades y la adaptación de exploits pueden producirse de forma más cercana entre sí. Una ventana de divulgación que antes ofrecía margen de maniobra puede reducirse drásticamente.
Ese es el primer significado real detrás del cambio de conversación de Engadget. La IA ya no solo produce texto malicioso. Está empezando a conectar decisiones, herramientas y acciones en un flujo de trabajo de ataque.
El impacto de la IA en ciberseguridad afecta más a los defensores lentos
La IA aumenta la presión sobre las organizaciones cuyos procesos de seguridad avanzan más lentamente que su software y sus atacantes.
Las organizaciones más expuestas no son necesariamente las que ejecutan los sistemas de IA más avanzados. A menudo son organizaciones con aplicaciones antiguas, inventarios incompletos, parches retrasados o equipos de seguridad con poco personal.
Un atacante siempre ha necesitado una sola vía viable. Un defensor debe cerrar todas las vías relevantes mientras mantiene disponibles los sistemas empresariales. La automatización intensifica esa asimetría al permitir que los atacantes prueben más posibilidades al mismo tiempo.
Investigadores de Georgia Tech sostienen que la IA actualmente tiene su mayor efecto durante las primeras etapas de un ataque. Estas incluyen encontrar debilidades, investigar objetivos y desarrollar posibles rutas hacia un sistema.
Esa evaluación cuestiona la interpretación más dramática del hacking con IA. La amenaza a corto plazo no es necesariamente una máquina que inventa una categoría de ataque completamente desconocida. Es la exploración rápida de debilidades que los defensores pasaron por alto.
La IA puede leer documentación, comparar versiones de software, generar scripts e interpretar respuestas de herramientas de escaneo. También puede combinar detalles que parecen inofensivos cuando los equipos de seguridad los revisan por separado.
Un servidor de pruebas olvidado se vuelve más peligroso cuando un agente lo conecta con una credencial expuesta. Una biblioteca desactualizada adquiere mayor relevancia cuando el agente descubre un servicio accesible que utiliza esa versión exacta.
Esto crea un problema de priorización. Los programas tradicionales de vulnerabilidades suelen comenzar con calificaciones de gravedad asociadas a fallos de software individuales. A los atacantes les importa más si varias debilidades moderadas forman una vía utilizable.
Un agente puede buscar esas combinaciones continuamente. No se cansa al comparar configuraciones, credenciales, acceso a la red y vulnerabilidades publicadas. Esa persistencia puede revelar vías de ataque que las colas ordinarias de tickets ocultan.
La respuesta obligada es tanto organizativa como técnica. Los equipos de seguridad deben entender qué activos importan, quién puede acceder a ellos y cómo interactúan las debilidades separadas. Comprar otro producto de alertas no corrige la falta de responsables definidos.
La presión también alcanza a los mantenedores de software. Los investigadores asistidos por IA pueden generar más informes de vulnerabilidades de los que los proyectos pequeños pueden validar. Los informes falsos siguen consumiendo tiempo, incluso cuando el modelo subyacente actuó de buena fe.
Nature informó que Mozilla utilizó un modelo de frontera para ayudar a descubrir y corregir 271 vulnerabilidades en una versión de Firefox. El trabajo de seguridad de Firefox ilustra el potencial defensivo de la IA y su capacidad para aumentar el volumen de revisión.
Un hallazgo verificado puede mejorar el software antes de que los atacantes lo alcancen. Una avalancha de hallazgos inciertos puede, en cambio, desbordar a los mantenedores y retrasar las correcciones más importantes. La validación humana sigue siendo el recurso escaso en ambos casos.
Ese cuello de botella explica por qué el cambio de énfasis de Engadget importa más allá de las historias dramáticas de hacking. La IA modifica la cantidad de hallazgos plausibles que las organizaciones deben evaluar, no solo la sofisticación de un ataque.
Las empresas con inventarios de activos maduros y procesos rápidos de parcheo obtienen una ventaja defensiva. Las organizaciones que no pueden identificar a los responsables de los sistemas tendrán dificultades, incluso si sus herramientas de detección utilizan modelos capaces.
Se trata principalmente de una presión a largo plazo con consecuencias inmediatas. Las debilidades subyacentes a menudo ya existían. La IA acorta el periodo durante el cual las organizaciones pueden dejarlas sin resolver sin atraer atención.
El conflicto real es automatización frente a verificación
La IA puede acelerar los ataques y las defensas, pero solo la verificación convierte la actividad generada en trabajo de seguridad fiable.
Esta es la disyuntiva central. Los agentes producen acciones a velocidad de máquina, mientras que las decisiones de seguridad confiables aún requieren evidencia. Esa brecha determina tanto el éxito ofensivo como la sobrecarga defensiva.
Los atacantes no necesitan que todos los exploits generados funcionen. Pueden descartar los intentos fallidos y seguir probando. Los defensores no pueden tratar cada advertencia generada como un incidente confirmado sin interrumpir las operaciones normales.
Esa diferencia favorece la experimentación ofensiva. Un delincuente puede pedir a un modelo que reescriba un script después de cada fallo. El coste de otro intento suele ser menor que el coste para el defensor de investigar otra alerta.
Sin embargo, la automatización no elimina la experiencia necesaria para intrusiones graves. Los modelos pueden malinterpretar un objetivo, inventar detalles técnicos o dañar un acceso que un operador experimentado preservaría.
El relato de Anthropic sobre la campaña de espionaje de 2025 recoge ambos lados. Su investigación de la campaña afirma que el actor utilizó Claude como operador en reconocimiento, explotación, recopilación de credenciales y análisis de datos.
El informe también indica que los humanos seleccionaron los objetivos e intervinieron en puntos críticos. Anthropic concluyó que las alucinaciones del sistema seguían siendo un obstáculo para ataques totalmente autónomos.
Esas matizaciones no deberían convertirse en excusas para la complacencia. Un agente imperfecto aún puede realizar cientos de tareas de bajo coste antes de que un humano revise los resultados más prometedores.
La comparación más adecuada no es IA frente a un hacker de élite. Es un operador que usa herramientas convencionales frente a otro que supervisa varios flujos de trabajo parcialmente autónomos.
El segundo operador puede investigar más objetivos, repetir más pruebas y conservar más notas. El agente también puede traducir material técnico o adaptar una técnica conocida a un entorno de software desconocido.
Los defensores reciben beneficios equivalentes en teoría. Pueden desplegar agentes para examinar código, reproducir errores reportados, revisar configuraciones o buscar registros después de un incidente.
En la práctica, el uso defensivo enfrenta restricciones más estrictas. Un equipo de seguridad debe proteger la disponibilidad de producción, los datos de clientes y la integridad de las pruebas. No puede ejecutar libremente cada comando generado por un modelo contra un entorno activo.
Esto hace esencial el sandboxing. Un sandbox es un entorno aislado que limita a qué código o recursos puede acceder un agente. Sin embargo, el aislamiento falla cuando los permisos de herramientas, las credenciales o las rutas de red siguen siendo demasiado amplios.
Por tanto, el modelo de seguridad debe cubrir el entorno operativo completo del agente. Proteger solo el modelo de lenguaje deja expuestos su navegador, intérprete de comandos, conectores, credenciales almacenadas y documentos recuperados.
La revisión de NIST sobre las respuestas de seguridad de agentes encontró un amplio acuerdo en que los principios establecidos de ciberseguridad siguen siendo relevantes. Su análisis de seguridad de agentes también concluyó que esos principios requieren adaptación para sistemas autónomos.
El principio de mínimo privilegio sigue siendo útil, pero los permisos de un agente pueden cambiar entre herramientas conectadas. El registro sigue siendo útil, pero un agente de alta velocidad puede crear más eventos de los que los equipos pueden revisar manualmente.
La aprobación humana sigue siendo útil, pero las solicitudes de confirmación sin sentido se convierten en otra fuente de error. Si una persona aprueba docenas de acciones opacas, el control existe solo sobre el papel.
Por tanto, la competencia práctica es automatización frente a verificación. Los atacantes se benefician cuando la experimentación barata produce un resultado exitoso. Los defensores se benefician cuando el descubrimiento automatizado conduce a un parche validado antes de que comience la explotación.
Ninguno de los dos resultados está garantizado por el modelo por sí solo. Las decisiones de despliegue determinan si un agente de IA se convierte en un analista útil, un generador de ruido poco fiable o un operador sin control.
Las nuevas vías de ataque de IA apuntan al propio agente
Los agentes de IA introducen vulnerabilidades que las aplicaciones convencionales no exponían, porque antes el software trataba la mayor parte del texto recuperado únicamente como datos.
La inyección de prompts es el ejemplo más claro. Un ataque de inyección de prompts inserta instrucciones dentro de contenido que un modelo lee, con la esperanza de que el modelo las trate como comandos.
Un navegador común muestra una frase maliciosa. Un agente de IA podría interpretar esa misma frase, acceder a otra herramienta y actuar en consecuencia. La vulnerabilidad surge de combinar contenido no confiable con autoridad para tomar decisiones.
La inyección indirecta de prompts oculta esas instrucciones en material externo. El contenido puede aparecer dentro de una página web, documento, correo electrónico, ticket de soporte, comentario de código, entrada de calendario o resultado de búsqueda.
Es posible que un empleado humano ni siquiera perciba la instrucción oculta. Un agente que procesa el material puede incorporarla a su contexto de trabajo y seguirla en lugar de atender la solicitud del usuario.
Los investigadores de seguridad de Google identificaron la inyección indirecta de prompts como una de las principales preocupaciones de ataque para los agentes. Su estudio sobre inyecciones web examinó páginas públicas en busca de patrones diseñados para influir en lectores de IA.
El peligro aumenta cuando un agente puede enviar mensajes, recuperar archivos privados, actualizar registros o ejecutar código. Una inyección exitosa puede convertir un acceso autorizado en una acción controlada por un atacante.
Esto no es idéntico a una vulnerabilidad clásica de inyección de software. Una base de datos puede separar comandos y valores mediante sintaxis estricta y parametrización. Los modelos de lenguaje natural operan entre instrucciones y contenido ambiguos.
Los filtros pueden detectar frases conocidas, pero los atacantes pueden parafrasear instrucciones o distribuirlas entre varias fuentes. Un sistema también corre el riesgo de bloquear contenido legítimo cuando trata el texto inusual como inherentemente malicioso.
Los límites de permisos ofrecen una defensa más sólida. Un resumidor de correos electrónicos normalmente no necesita autoridad para ejecutar comandos de shell. Un asistente de programación no debería subir secretos automáticamente solo porque un archivo del repositorio se lo solicite.
Los desarrolladores también deben rastrear el origen de la información que entra en el contexto de un agente. El contenido recuperado de la web pública no debería recibir la misma confianza que una instrucción directa de un usuario autenticado.
Los agentes pueden enfrentar otras nuevas vías de ataque. Las descripciones de herramientas pueden ser manipuladas, la memoria puede conservar instrucciones hostiles y los conectores comprometidos pueden devolver resultados engañosos.
Un atacante también puede contaminar los datos que un agente utiliza para tomar decisiones. El objetivo no siempre es la ejecución inmediata de código. Puede bastar con alterar un informe, suprimir una alerta o redirigir un flujo de pagos.
La revisión de OWASP de 2026 describe la inyección de prompts y las dependencias de IA de terceros como riesgos empresariales prácticos. Su revisión de exploits de agentes vincula incidentes documentados con categorías de seguridad emergentes.
Aun así, los equipos de seguridad deberían evitar tratar cada respuesta extraña de un modelo como un ciberataque exitoso. Los modelos pueden fallar por prompts ambiguos, contexto limitado o errores de software comunes.
Un incidente creíble requiere evidencia sobre a qué accedió el sistema, qué acción intentó realizar y si un atacante influyó en esa acción. Las demostraciones sensacionalistas suelen omitir uno de esos elementos.
La pregunta más útil no es si un modelo dijo algo alarmante. Es si una entrada no confiable cruzó un límite de confianza y provocó una acción con consecuencias.
Esa prueba ofrece a las organizaciones un estándar viable. También revela por qué las nuevas vulnerabilidades de IA merecen atención específica sin reemplazar los fundamentos establecidos de la ciberseguridad.
El descubrimiento de vulnerabilidades con IA ayuda tanto a atacantes como a mantenedores
La misma capacidad que permite a la IA encontrar fallos desatendidos puede reforzar las defensas, siempre que los mantenedores reciban hallazgos validados y parches utilizables.
El descubrimiento de vulnerabilidades asistido por IA opera en un amplio espacio de búsqueda. Un modelo puede inspeccionar código fuente, razonar sobre el comportamiento de un programa y elegir herramientas como depuradores o fuzzers.
Un fuzzer introduce entradas inusuales en un software para provocar fallos o comportamientos inesperados. El fuzzing tradicional suele depender de entornos de prueba diseñados por humanos y de una capacidad de cómputo considerable.
Un modelo puede ayudar a interpretar fallos y rastrearlos hasta el código pertinente. También puede sugerir nuevas pruebas a partir de lo que revelaron los intentos anteriores.
Anthropic informó que Claude Opus 4.6 encontró vulnerabilidades en software de código abierto ampliamente utilizado durante investigaciones controladas. La empresa afirma haber validado cada problema reportado para evitar cargar a los mantenedores con errores alucinados.
Su investigación sobre zero-days ilustra la promesa defensiva y el reto de la divulgación. Un zero-day es una vulnerabilidad desconocida para el mantenedor responsable cuando alguien la descubre o explota.
Estos hallazgos son valiosos cuando los investigadores coordinan la divulgación y dan tiempo a los mantenedores para aplicar parches. Se vuelven peligrosos cuando los detalles de explotación llegan a los atacantes antes de que los usuarios puedan actualizar los sistemas afectados.
La IA comprime ambas cronologías. Puede ayudar a un mantenedor a comprender un informe más rápido, pero también puede ayudar a un atacante a analizar un parche público y reconstruir la debilidad original.
Ese proceso, a menudo llamado patch diffing, compara versiones de software para localizar el código corregido. Un agente puede luego comprobar si las versiones anteriores y expuestas siguen siendo vulnerables.
Por ello, las organizaciones deben acortar la distancia entre la recepción de vulnerabilidades y la corrección. Un informe que permanece sin asignar en una cola se vuelve más peligroso cuando los atacantes pueden automatizar el análisis de parches.
La respuesta no es ocultar cada actualización de seguridad. Los usuarios necesitan suficiente información para evaluar la exposición y aplicar correcciones. Los investigadores también necesitan incentivos y canales seguros para reportar problemas.
La mejora más realista es la automatización coordinada. Los agentes pueden reproducir hallazgos en entornos aislados, identificar activos afectados, proponer parches y preparar pruebas. Luego, los humanos pueden aprobar cambios con mejores evidencias.
Los mantenedores deberían rechazar la suposición de que todo informe generado por IA merece la misma urgencia. Los informes necesitan pasos reproducibles, versiones afectadas, impacto técnico y evidencia de que el comportamiento cruza un límite de seguridad.
Los equipos de seguridad también necesitan deduplicación. Varios agentes pueden reportar de forma independiente la misma causa raíz usando lenguaje diferente. Sin agrupación, la automatización puede hacer que un solo fallo parezca decenas de emergencias separadas.
Esta capa de verificación es donde los defensores pueden recuperar ventaja. Los atacantes toleran el ruido porque buscan una sola apertura. Los defensores pueden usar evidencia estructurada para convertir el descubrimiento de alto volumen en correcciones priorizadas.
Los beneficios van más allá de las grandes empresas tecnológicas. Los equipos pequeños pueden usar IA para examinar código desconocido o redactar pruebas, aunque aún necesitan configuraciones seguras y una revisión cualificada.
Las organizaciones también deberían preservar el conocimiento institucional sobre incidentes y parches. Una base de conocimiento de ingeniería consultable puede ayudar a los equipos a conectar nuevos hallazgos con decisiones anteriores y sistemas afectados.
Esa conexión es operativamente importante. Un agente puede proponer una corrección rápidamente, pero los equipos todavía necesitan saber por qué existe el código, qué clientes dependen de él y qué cambios anteriores se rompieron.
Por tanto, el descubrimiento de vulnerabilidades con IA no favorece automáticamente a la ofensiva. Recompensa al bando que combine automatización con acceso, validación y una ejecución más rápida.
Lo que deben demostrar las próximas pruebas de ciberseguridad
La próxima fase se medirá mediante incidentes verificados, fallos de permisos de agentes y la capacidad de los defensores para aplicar parches a una velocidad comparable.
La primera señal que hay que vigilar es la documentación independiente de intrusiones orquestadas por IA. Los informes de amenazas de las empresas aportan evidencia valiosa, pero los proveedores también tienen incentivos para destacar la importancia de sus modelos.
Una confirmación más sólida incluiría indicadores compartidos, sectores afectados, cronologías de ataque y hallazgos de varios equipos de respuesta a incidentes. Los detalles sensibles pueden mantenerse protegidos mientras los investigadores establecen el papel de la IA.
Si informes independientes muestran que los agentes completan cadenas de ataque más largas con menos correcciones humanas, el argumento de la automatización se fortalece. Si la evidencia sigue mostrando intervención constante de operadores, las afirmaciones de autonomía requieren moderación.
La segunda señal es el tratamiento de la inyección indirecta de prompts en agentes desplegados. Las demostraciones de investigación ya muestran un mecanismo creíble. La pregunta abierta es con qué frecuencia produce acciones con consecuencias en sistemas empresariales ordinarios.
Preste atención a incidentes que involucren agentes de correo electrónico, asistentes de programación, agentes de navegador y herramientas de productividad conectadas. Los informes deberían explicar los permisos implicados y si el sistema cruzó un límite de confianza definido.
Un aumento de casos verificados demostraría que la IA creó una superficie de ataque operativa diferenciada. La ausencia de daños documentados no eliminaría el riesgo, pero debilitaría las afirmaciones de que ya está en marcha una explotación generalizada.
La tercera señal es la velocidad de corrección. El descubrimiento asistido por IA importa más cuando cambia la carrera entre encontrar un fallo y proteger los sistemas expuestos.
La evidencia útil incluirá tiempos de validación más cortos, despliegue de parches más rápido y menos vulnerabilidades sin asignar. Los recuentos brutos de errores descubiertos por IA revelarán poco si los mantenedores no pueden procesarlos.
Los defensores deberían empezar a prepararse sin esperar métricas perfectas. Pueden inventariar los permisos de los agentes, separar las instrucciones confiables del contenido recuperado y exigir aprobación para acciones irreversibles.
Deberían registrar las llamadas a herramientas con suficiente detalle para reconstruir decisiones. Los registros deben documentar la fuente de entrada, la acción solicitada, los permisos disponibles y el resultado real.
Las pruebas de seguridad también deben incluir contenido hostil dentro de flujos de trabajo normales. Evaluar un modelo solo con prompts directos de jailbreak pasa por alto ataques ocultos en archivos, sitios web y mensajes.
Las organizaciones deberían imponer límites al movimiento de datos. Un agente que lee documentos confidenciales no debería obtener comunicación saliente sin restricciones solo porque ambas capacidades parezcan útiles por separado.
Los controles tradicionales siguen soportando la mayor parte de la carga defensiva. La autenticación multifactor, la aplicación rápida de parches, las redes segmentadas, las credenciales protegidas y los planes de recuperación probados siguen siendo esenciales.
La IA no vuelve obsoletas esas prácticas. Castiga a las organizaciones que las implementaron de forma inconsistente, porque los atacantes automatizados pueden buscar las excepciones más rápido.
Por ello, que Engadget esté cambiando la conversación sobre ciberseguridad tiene menos que ver con que las máquinas reemplacen a los hackers que con que las máquinas cambien la economía del hacking. Pueden ocurrir más intentos antes, con menos pausas entre el descubrimiento y la acción.
La oportunidad defensiva sigue la misma lógica. Los equipos de seguridad pueden usar agentes para investigar código, validar informes y preparar correcciones antes de que un atacante convierta una debilidad en una intrusión.
La pregunta decisiva es si las organizaciones darán a los agentes una autoridad amplia antes de establecer una verificación eficaz. Los lectores deberían preguntarse a qué puede acceder cada agente, qué puede cambiar y quién revisa sus acciones.
Esa indagación debería realizarse ahora, no después de que aparezca la primera llamada a herramienta inexplicable en un informe de incidentes. La IA está acelerando la ciberseguridad, pero la velocidad sin límites beneficia al bando dispuesto a aceptar más riesgos.
