Protegiendo la infraestructura contra armas que piensan por sí mismas

¿Qué parte de su plan de respuesta a incidentes asume que el adversario es una persona que comete errores? Durante décadas, nuestra postura de seguridad se basó en el hecho de que un atacante es humano. Los humanos se cansan. Pierden la concentración. Tienen un ancho de banda limitado para gestionar múltiples tareas complejas a la vez. Esta limitación humana era el socio silencioso en nuestras estrategias de defensa. La IA Agéntica ha eliminado esa restricción. Estamos entrando en una era en la que el arma ya no necesita un guerrero que la empuñe. Se trata de un cambio de herramientas que asisten a herramientas que actúan.

He observado esta evolución desde la primera línea. En 2023, publiqué un libro blanco en el SANS Technology Institute. En él se demostraba cómo incluso usuarios sin conocimientos técnicos podían persuadir a los chatbots para que generaran malware funcional. En aquel momento, la IA era una pluma sofisticada. Ayudaba a redactar el código, pero un humano todavía tenía que copiar, pegar y ejecutar el ataque. Para 2025, esa dinámica cambió con la introducción de agentes autónomos. Hoy, en 2026, la correa ha desaparecido. El agente es el operador.

La correa se ha cortado

La diferencia fundamental entre la IA de hace tres años y los modelos agénticos actuales es el bucle de retroalimentación. Las iteraciones anteriores de IA ofensiva eran reactivas. Usted daba una instrucción y ella daba una respuesta. La IA Agéntica es proactiva. Recibe un objetivo y luego elige qué herramientas utilizar para alcanzarlo. Puede navegar por la web, ejecutar comandos de terminal, escanear puertos y reescribir su propio código cuando encuentra un error. Este es un bucle que no requiere intervención humana.

Este cambio está remodelando las operaciones ofensivas en dos direcciones. Otorga capacidad a atacantes que no poseen habilidades técnicas y aporta velocidad a aquellos que ya son letales. Si su oficio es el trabajo ofensivo, debe darse cuenta de que las herramientas que un adversario vuelve contra usted son las mismas herramientas que usted debe usar para defenderse. El terreno se ha movido. Ya no nos defendemos de una serie de eventos discretos. Nos defendemos de un proceso continuo y pensante que reside en la red.

La muerte silenciosa del rastro del phishing

Uno de los impactos más inmediatos es la automatización total de la ingeniería social. En un escenario típico, un atacante despliega un agente para recopilar información disponible públicamente sobre un objetivo específico. El agente extrae datos de perfiles de LinkedIn, observa grabaciones de conferencias para imitar patrones de habla y lee comunicados de prensa recientes. Utiliza esta inteligencia para construir una personalidad. Un segundo agente gestiona entonces la conversación. Envía el mensaje, maneja las respuestas y dirige al objetivo hacia un enlace malicioso o una solicitud de credenciales.

Esta es la muerte de las señales en las que solíamos confiar. Durante años, nuestra formación en phishing se centró en rastros obvios. Buscábamos gramática torpe, plantillas genéricas y sentido de urgencia. La IA Agéntica borra estos indicadores. Cada mensaje es fluido y único. Se basa en hechos reales sobre el destinatario. Nuestra detección debe ahora apoyarse enteramente en señales de infraestructura como la reputación del remitente y la autenticación. Estamos viendo cómo se desmorona el cortafuegos lingüístico. El phishing es un caballo de Troya digital que ahora parece idéntico a una entrega legítima.

El auge del "script kiddie" como servicio

A menudo me refiero a este estado actual como "script kiddie" como servicio. Históricamente, un actor sin habilidades estaba limitado por su propia falta de experiencia. Tenía que esperar a que alguien más lanzara un exploit. Ahora, las limitaciones están definidas por la capacidad del modelo de IA. Debido a que muchos actores no capacitados utilizan los mismos modelos de vanguardia, vemos una monocultura conductual. Los ataques son competentes, pero siguen patrones reconocibles.

Esta es una ventaja poco común para el defensor. Cuando miles de atacantes utilizan el mismo modelo subyacente para generar una cadena de exploits, dejan huellas similares. Podemos construir detecciones para estos comportamientos por defecto. Sin embargo, esto solo funciona para la mayoría. Los adversarios experimentados se adaptan más allá de estos valores predeterminados. Utilizan agentes para ejecutar campañas en paralelo. Una tarea que antes requería un equipo de tres personas durante dos semanas, ahora le toma a una persona y un agente cuatro horas. El volumen de ataques de alta calidad es el nuevo estándar.

Automatización en la cadena de explotación

La automatización se ha desplazado profundamente hacia la fase de explotación. A medida que los modelos mejoraron en el encadenamiento de llamadas a herramientas, el listón para producir un exploit funcional bajó. Vimos esto claramente cuando el gobierno federal intervino para que Anthropic Fable 5 fuera retirado del mercado. Los temores respecto a sus capacidades no eran infundados. Cuando se vincula un modelo capaz a una base de datos de vulnerabilidades conocidas, este realiza su propio reconocimiento. Juzga a qué es probable que esté expuesto un objetivo y extrae el exploit correspondiente de su biblioteca.

Actúa como un sabueso que ha captado un rastro. Informa al operador solo cuando está listo para disparar. El malware también se está volviendo agéntico. Estamos viendo cepas que reescriben sus propias firmas para eludir los controles que reconocían la versión anterior. Esta es la evolución natural de los conceptos de Arma de Acceso a Red Guiada (GNAW) que discutí por primera vez hace años. El malware ya no es un archivo estático. Es una pieza de software que puede razonar sobre su entorno y cambiar su comportamiento para permanecer oculto.

La confianza de un falso oráculo

Existe el peligro de apoyarse demasiado en estos agentes. Hablan con una autoridad inquebrantable, pero no buscan la verdad. Un agente busca una tarea terminada. Quiere proporcionar una respuesta que parezca correcta. No tiene una visión privilegiada de si un host es verdaderamente vulnerable. Empareja indicadores con una conclusión. Si se casa a un agente con un almacén de recuperación de vulnerabilidades, sacará a la luz lo que esté relacionado, no lo que sea verdad. A menudo ignora los números de versión o los detalles de configuración.

Este es el problema del falso oráculo. El agente nombrará un objetivo que no está allí y pedirá permiso para atacar. Para el profesional, esto significa que el juicio es ahora la habilidad principal. Las partes mecánicas del oficio son ahora tareas de máquinas. La capacidad de distinguir un hallazgo verdadero de una mentira segura es donde reside el valor. Cada vez que un agente sugiere un camino, un humano debe verificar la lógica. Si sigues a un agente a ciegas, eventualmente te llevará al precipicio.

Probando la defensa a través de la utilidad

El SANS Secure AI Blueprint, desarrollado por Rob T. Lee, proporciona un marco para esta nueva realidad. Divide el desafío en tres vías: Proteger la IA, Utilizar la IA y Gobernar la IA. La gobernanza trata sobre políticas y supervisión. La protección trata sobre el endurecimiento de los sistemas. La utilización es donde ponemos la IA a trabajar para ambos bandos. Las operaciones ofensivas viven en la vía de Utilización.

Muchos líderes piensan que la seguridad de la IA se trata solo de carpetas de políticas. Se equivocan. La utilización es la única vía que produce pruebas. Una organización puede escribir todas las directrices que quiera, pero hasta que alguien vuelva una herramienta agéntica contra la red, esas directrices son teorías. Una defensa solo importa cuando entra en contacto con un ataque. El papel del profesional ofensivo es sacar ese contacto a la superficie. Somos nosotros quienes probamos si la política y el endurecimiento realmente funcionan.

Si desea comprender su riesgo real, debe realizar una evaluación de riesgos que incluya una simulación de ataque autónomo. Las pruebas de penetración tradicionales ya no son un espejo suficiente para el panorama de amenazas. Debe ver cómo maneja su SOC a un adversario que no duerme y no sigue un horario humano. Audite a sus proveedores externos sobre su propio uso de herramientas agénticas. El arma ha cambiado. La mano en el arma se ha retirado, pero la elección de disparar sigue siendo nuestra. Nuestro juicio es lo único que la máquina no puede reemplazar.

Fuentes

• SANS Technology Institute: Whitepaper on Generative AI and Malware (2023)
• SANS Secure AI Blueprint: Developed by Rob T. Lee
• MITRE ATT&CK Framework: For AI-specific adversary tactics and techniques
• NIST AI Risk Management Framework (AI RMF 1.0)

Descargo de responsabilidad: Este artículo tiene fines informativos y educativos únicamente. La información proporcionada no sustituye a una auditoría de ciberseguridad profesional o un servicio de respuesta a incidentes. El autor no proporciona instrucciones para actividades ilegales.