Atacar ya es barato: Solo algo más de 50 € por intrusión
Hace unas semanas, un atacante soltó una flota de agentes de inteligencia artificial contra más de 1.200 sitios web y dejó de intervenir. Semanas después, el investigador Snorre Fagerland, de NorForge, contaba más de cien empresas con la página vulnerada, entre ellas Deere y Cummins, según Reuters. Deere dijo no ver indicios de que se accediera a datos sensibles. Reuters no pudo establecer cuántos datos salieron, si salió alguno.
El gasto de la operación se estimó en unos 5.000 dólares en créditos de modelos de lenguaje (DeepSeek y Claude Code, entre otros). Son unos 50 dólares por intrusión. La cifra es una estimación, pero dice más que cualquier descripción técnica.
Hasta hace poco, entrar en cien organizaciones exigía un equipo, meses de trabajo y conocimiento escaso. Ahora basta un presupuesto modesto y la paciencia de esperar a que los agentes terminen. Ahí está el cambio de fondo:
la IA ofensiva no aporta una técnica nueva, aporta menores costos para realizar una acción ofensiva. Atacar se abarata y se multiplica. Defender sigue siendo lento, caro y desigual.
De ayudante a operador
Los primeros usos fueron modestos. Modelos desviados o reentrenados, como WormGPT o FraudGPT, servían para redactar correos de suplantación más creíbles. ENISA, la agencia europea de ciberseguridad, recoge en el informe de 2025 (4.875 incidentes entre julio de 2024 y junio de 2025) que la suplantación de identidad, el phishing, abrió la puerta en el 60 % de las intrusiones, y que a comienzos de 2025 las campañas apoyadas en IA representaban, según se informa, más del 80 % de la ingeniería social observada en el mundo. Esa segunda cifra procede de estimaciones ajenas a la agencia.
La dirección, en cambio, no admite dudas.
El salto cualitativo llegó en agosto de 2025. Anthropic describió a un grupo, al que llamó GTG-2002, que usó Claude Code para automatizar una campaña de extorsión contra al menos 17 organizaciones, entre ellas centros sanitarios, servicios de emergencia, administraciones públicas y entidades religiosas. El modelo hizo el reconocimiento de las redes, analizó los datos robados para fijar el rescate, con demandas que superaron los 500.000 dólares, y redactó notas de chantaje de aspecto alarmante. No hubo cifrado de archivos. Solo robo y amenaza.
En noviembre, Anthropic atribuyó a un grupo respaldado por el Estado chino una operación de espionaje contra unas treinta organizaciones, de las que logró entrar en un número reducido. Según la empresa, los agentes ejecutaron entre el 80 % y el 90 % del trabajo táctico y las personas intervinieron en pocos puntos de decisión. Una semana antes, el grupo de inteligencia de amenazas de Google había documentado código malicioso que consulta un modelo de lenguaje mientras se ejecuta. PROMPTSTEAL, atribuido al grupo ruso APT28 y observado contra objetivos ucranianos, pide a un modelo alojado en Hugging Face las órdenes con las que busca documentos. PROMPTFLUX, todavía experimental, solicita a Gemini cada hora que reescriba su propio código para esquivar los antivirus.
El pasado septiembre, el informe de Anthropic sobre el periodo de diciembre de 2025 a agosto de 2026 dio el paso siguiente: en la mayoría de las operaciones cibernéticas descritas, la IA ejecutaba o coordinaba el trabajo. Un actor que la empresa considera coherente con el grupo ruso Midnight Blizzard usaba agentes que detectaban cuándo un antivirus marcaba el código, lo reconstruían y lo volvían a lanzar. Otro, afín al colectivo ShinyHunters, analizó 1,8 millones de aplicaciones Android en busca de credenciales olvidadas en el código y extrajo más de 2.100 juegos de tokens de acceso de más de 40 empresas en unas 34 horas. Todas estas cifras son de la propia Anthropic.
Octubre, el mes en que se conocieron más casos
Octubre trajo los casos con nombre. CrowdStrike publicó el día 7 que un atacante sin atribuir, probablemente de habla china y con motivación económica, había usado ARTEX, una herramienta agéntica de pruebas de intrusión de código abierto desarrollada en China, junto a varios modelos de lenguaje, Claude Code entre ellos, contra entidades financieras de Corea del Sur. Los datos de unas 68.000 personas quedaron expuestos, según el Wall Street Journal. CrowdStrike pudo reconstruir la operación porque el propio atacante dejó abiertos directorios con el historial de sus sesiones.
El día 18, OpenCode, una plataforma de programación asistida, sufrió 48 horas de acoso de un agente autónomo. El 1,4 % de los usuarios vio violadas las cuentas y algunos perdieron hasta 1.700 dólares en créditos. Tres días después, Microsoft atribuyó a Storm-0940, un grupo alineado con China, otro uso de ARTEX: tras comprometer el servicio de copias de seguridad en la nube de ConnectWise, intentó entrar en más de 2.250 entornos de Microsoft 365 a más de 2.900 intentos por minuto. La mayoría fracasó. En algunas organizaciones obtuvo privilegios, en varios casos menos de tres horas después de fijarlas como objetivo.
Symantec publicó después lo que había capturado este verano con un servidor trampa que simulaba un servicio de IA sin proteger: las instrucciones de un agente diseñado para apoderarse de modelos ajenos expuestos en internet. El modelo robado no responde preguntas. Planifica y conduce el ataque, hasta 100.000 pasos sin pedir permiso. La factura la paga su dueño.
Lo que las cifras no prueban
Conviene separar el hecho de la cifra. Buena parte de lo que se sabe de operaciones con Claude procede de los informes de Anthropic, la empresa que desarrolla el modelo abusado y que afirma haber frenado todos los casos que publica. Es una fuente valiosa y también parte interesada. El titular según el cual la IA interviene en el 84 % de los ataques de ransomware sale de una encuesta de Semperis a 1.200 profesionales de nueve países: refleja lo que los encuestados perciben, no lo que miden los registros. El 80 % de ENISA es una cifra de segunda mano. Y los agentes ofensivos se equivocan: el informe de noviembre de 2025 admitía que el modelo exageraba hallazgos y a veces inventaba datos.
Tampoco todo lo que ocurre en un mes negro es IA. Lo que la prensa especializada llama Black October incluye el hallazgo de claves privadas tan débiles en una autoridad de certificación india que una de ellas era, sencillamente, el número 4: error humano elemental. Chris Inglis, exdirector nacional de Ciberseguridad de Estados Unidos y miembro del consejo de Semperis, recuerda que lo que deja entrar al atacante suele ser lo de siempre, el control deficiente de los accesos.
Nada de esto desmiente la tendencia. La corrige de tamaño: no hay un atacante nuevo y omnipotente, hay uno corriente que ahora trabaja a velocidad de máquina.
Quién carga con la asimetría
Junfeng Yang, profesor de la Universidad de Columbia, lo resume así: la IA abarata el descubrimiento y la explotación de fallos viejos, pero parchear exige pruebas y coordinación, y las personas no trabajan a la velocidad de los modelos. Los fallos de PHP conocidos como php2shell lo ilustran. PHP sostiene, según estimaciones, cerca del 70 % de los sitios web. En cinco días, la agencia estadounidense CISA pasó de no haber visto explotación a incluirlos en el catálogo de vulnerabilidades explotadas y a exigir la corrección a las agencias federales.
Quien carga con esa asimetría no son los grandes bancos. Son los hospitales y las pequeñas empresas, y los proveedores modestos de los que dependen los grandes, como demostró el servicio de copias de seguridad que sirvió de trampolín para intentar entrar en más de 2.250 entornos ajenos. El atacante gasta decenas de dólares por objetivo. El defensor pequeño no tiene analistas de guardia.
Hay además una paradoja que la regulación no ha abordado. Cuando Hugging Face sufrió en julio un ataque autónomo, el modelo cerrado al que recurrió para defenderse se negó a colaborar por las salvaguardas, y la empresa acabó usando un modelo abierto chino. OpenCode vivió algo parecido con un modelo de OpenAI, que empezó a rechazar las peticiones en plena defensa. Recuperó el acceso tras pedir su ingreso en un programa restringido para profesionales verificados.
Las salvaguardas que frenan al atacante frenan también al defensor, y la decisión de quién merece acceso la toman unas pocas empresas privadas, sin mandato público. Es una concentración de poder que merece el mismo escrutinio que cualquier otra.El marco europeo ofrece algo. El Reglamento de IA exige a los proveedores de modelos de uso general con riesgo sistémico una protección adecuada de ciberseguridad y la notificación de incidentes graves. La directiva NIS2 obliga a gestionar el riesgo de la cadena de suministro, a dar una alerta temprana en 24 horas y a que la dirección responda de las medidas adoptadas. Pero lo que hoy se sabe de la IA ofensiva procede en gran parte de informes que las empresas publican cuando quieren, con los casos que eligen y sin verificación externa.
Una sociedad no debería enterarse de un riesgo por la generosidad de los proveedores. Debe poder exigirlo: informes de incidentes con criterios homogéneos, auditables por terceros.
Qué cambia en la defensa
Las medidas útiles son conocidas y poco vistosas, lo cual es una buena noticia. La identidad va primero: las credenciales robadas y los accesos con demasiados permisos siguen dando acceso, y un agente las prueba a miles por minuto, de modo que la autenticación resistente a la suplantación deja de ser opcional. Después viene el inventario de lo expuesto. Según Symantec, los servidores de modelos, las pasarelas de IA y los servidores que conectan un modelo con herramientas, sin autenticación, son ya un recurso que los atacantes buscan de forma activa, y las claves de acceso a proveedores de IA se venden o se gastan a costa de la víctima.
Los agentes propios merecen la misma atención. Semperis advierte de que un agente con permisos amplios tiende a buscar más, y el 44 % de las víctimas encuestadas dijo haber sufrido ataques que aprovechaban los sistemas de IA de la propia víctima. Conviene darles credenciales de vida corta y alcance mínimo. Queda la velocidad: una detección que espera a una persona cada vez que algo suena no sirve contra 2.900 intentos por minuto. Anthropic e Inglis coinciden en que la respuesta pasa por usar también IA en la defensa, con revisión humana en las decisiones que importan.
En el caso de septiembre, el atacante pagó unos 5.000 dólares. Ninguna de las fuentes consultadas cuantifica lo que costó a las víctimas. Esa es la cuenta que falta: el daño sin precio unitario, repartido entre clientes, empleados y contribuyentes que ni siquiera saben que la organización figuraba en una lista de objetivos. Mientras no se haga, la economía del ataque seguirá siendo la única que se calcula con precisión.