Imagen: Google
Los atacantes ya no se limitan a usar chatbots de IA para escribir código malicioso: están construyendo sistemas completos de agentes que planifican, ejecutan y corrigen ataques por sí solos. Así lo recoge un informe de Bleeping Computer sobre el trabajo del Google Threat Intelligence Group (GTIG), que ha analizado telemetría de las investigaciones de respuesta a incidentes de Mandiant, el seguimiento de actores de amenazas y las defensas de sus propias plataformas.
El cambio de fondo es el paso de la automatización con guiones tradicionales a sistemas mucho más autónomos. Según GTIG, «a lo largo del último trimestre, los actores de amenazas han ido más allá de las simples interacciones con LLM mediante prompts para integrar capacidades de IA en múltiples etapas del ciclo de vida de un ataque». El propio informe añade que estos grupos están «actualizando sus flujos de trabajo, creando sistemas altamente autónomos capaces de razonar sobre tareas complejas y tomar decisiones dinámicas sin necesidad de supervisión humana».
Un ataque completo, montado en menos de seis horas
El caso más llamativo del informe es el de un atacante con motivación económica que comprometió la infraestructura en la nube de una organización y desplegó un sistema multiagente autónomo. En menos de seis horas, el atacante planificó, construyó y lanzó una campaña masiva de robo de credenciales apoyándose solo en un chatbot de codificación con IA, un prompt y unas instrucciones en formato markdown para los agentes, según detalla Google.
Durante esa campaña, los agentes de IA gestionaron por sí mismos el proceso de escaneo de vulnerabilidades, recopilaron miles de credenciales de terceros, resolvieron problemas en tiempo real, rotaron direcciones IP y desviaron el tráfico del ataque a través de entornos en la nube legítimos pero comprometidos para evitar ser detectados. El resultado es una reducción drástica del tiempo que un humano necesita para intervenir, y con ello, de la ventana de la que disponen los equipos de defensa para reaccionar.
Un servidor con más de 23.800 credenciales gestionadas en tiempo real
En otro incidente distinto, los investigadores de GTIG localizaron un servidor de mando y control expuesto que alojaba un framework automatizado de reconocimiento y gestión de credenciales bautizado como «Recon». Sus archivos incluían instrucciones para agentes de IA, ficheros de conocimiento y artefactos relacionados con OpenClaw, y el sistema gestionaba en tiempo real más de 23.800 secretos robados, entre ellos claves de API.
El informe recoge además otros usos de la IA por parte de grupos de ciberespionaje. Actores vinculados a China habrían experimentado «con herramientas de desarrollo impulsadas por IA para construir una tubería automatizada de explotación y post-explotación asistida por IA». Por su parte, GTIG identifica al grupo ruso UNC5792 integrando modelos de IA para automatizar bots de vigilancia que rastrean canales de Telegram en busca de información de interés para su gobierno.
Google matiza: el hackeo totalmente autónomo todavía no es la norma
Pese a la gravedad de los casos descritos, GTIG subraya que el hackeo completamente autónomo aún no se ha generalizado, y que no ha observado a actores de amenazas desplegando tuberías totalmente autónomas para el descubrimiento de vulnerabilidades de día cero ni para la explotación de redes contra objetivos reales.
Google también señala que su propio modelo, Gemini, detectó muchos de estos abusos en fases tempranas y respondió conforme a sus protocolos de seguridad, lo que permitió a la compañía tomar medidas adicionales, interrumpir las campañas y bloquear las cuentas implicadas. El informe menciona además otros usos indebidos de herramientas de IA, como ataques a la cadena de suministro atribuidos a UNC6780 (TeamPCP), operaciones de destilación de Gemini que involucraron cien millones de prompts, y un mercado creciente de credenciales de cuentas de IA y claves de API robadas. Grupos respaldados por estados siguen usando la IA, según GTIG, para reconocimiento, phishing, desarrollo de malware, explotación, post-explotación, procesamiento de datos y propaganda.
Qué cambia para quien gestiona credenciales e infraestructura en la nube
El dato del ataque resuelto en menos de seis horas no es anecdótico: describe una diferencia real de mecanismo. Cuando el proceso lo llevaba una persona con scripts, cada paso —escanear, decidir qué credencial explotar, rotar la IP para no ser bloqueado— dependía de que alguien estuviera delante para tomar la siguiente decisión. Con un agente que razona y corrige sus propios errores, esa cadena se ejecuta sola, y el tiempo que un equipo de seguridad tiene para detectar el ataque antes de que se complete se reduce a esa misma ventana de horas. Para cualquier organización con credenciales expuestas en la nube, esto significa que la respuesta manual clásica —revisar alertas, confirmar el incidente, cortar el acceso— puede llegar tarde si el proceso de detección no es igual de automático que el del atacante. No es que las defensas actuales sean inútiles: el propio caso de Gemini deteniendo abusos en fase temprana muestra que la detección automatizada del lado defensivo también funciona; el problema aparece cuando esa vigilancia no está desplegada o llega después de que el agente atacante ya haya rotado de infraestructura.
Escrito por Eloy Andrade
