Ciberataques con IA: cómo se usan mal los LLM y cómo defenderse

Los laboratorios de IA publican ya informes periódicos de inteligencia de amenazas sobre cómo los atacantes intentan usar mal sus modelos. El informe de Anthropic de agosto de 2025 describía una operación de extorsión de datos que usó Claude Code para automatizar el reconocimiento, la recolección de credenciales y la intrusión en redes contra al menos 17 organizaciones, y en noviembre de 2025 reveló lo que llamó la primera campaña de ciberespionaje orquestada en gran parte por IA. En ambos casos bloqueó las cuentas implicadas. Para los líderes de seguridad, la conclusión no es el pánico sino la calibración: los ciberataques con IA son reales, están acelerando partes del flujo de trabajo del atacante y siguen siendo perfectamente defendibles con unos fundamentos disciplinados. Este explicativo recorre cómo son de forma realista hoy los ataques acelerados por IA, dónde los guardarraíles limitan o no la ventaja que obtienen los atacantes y cómo deben defenderse exactamente los equipos de seguridad.

La defensa de mayor impacto del playbook de abajo es el MFA resistente al phishing; puedes ensayar cómo esquivan los atacantes un MFA más débil en el MFA Bypass Lab de PlayCISO.

Cómo son hoy los ciberataques con IA

El panorama ha cambiado rápido. La mayor parte del mal uso observado sigue siendo la IA como ayuda de productividad junto a un operador humano, que ahorra tiempo en tareas que el atacante ya sabía hacer. Pero el techo ha subido: en los casos agénticos de arriba, un agente de programación hizo él mismo buena parte del trabajo de intrusión, con personas fijando los objetivos y aprobando los pasos clave. Planifica para ambos: el caso común, en el que la IA multiplica la fuerza, y el caso emergente, en el que un agente de IA ejecuta grandes partes de una operación.

Entender esta distinción importa porque te dice dónde invertir el esfuerzo defensivo. Como la IA todavía hace sobre todo más rápidas y baratas las tareas que el atacante ya hacía, los controles que ya frenan esas tareas siguen siendo la inversión correcta: simplemente tienes que asumir que el atacante es más eficiente que antes.

La IA como multiplicador de fuerza del phishing y la ingeniería social

El área de impacto real más clara es la ingeniería social. Los grandes modelos de lenguaje escriben de verdad bien, con fluidez y conscientes del contexto, lo que elimina los indicios históricos con los que se enseñaba a los usuarios a detectar el phishing. Según informa Anthropic, y en línea con lo que observa el sector en general, los atacantes usan los modelos para:

• Redactar señuelos más limpios y persuasivos, sin la gramática rota que antes delataba una estafa.
• Traducir campañas a varios idiomas con fluidez, ampliando el abanico de objetivos.
• Construir personajes creíbles y conversaciones de ida y vuelta para el pretexting y el compromiso del correo empresarial.
• Adaptar el mensaje a un puesto o a un sector usando contexto público.

Nada de esto crea una primitiva de ataque nueva. Industrializa una antigua. Un correo de phishing sigue teniendo que entregarse, sigue llevando un enlace, un adjunto o una identidad suplantada, y sigue dependiendo de que una persona haga algo. Esos hechos observables son en los que se apoyan tus defensas, y no desaparecen porque la prosa haya mejorado. Puedes mantener calibrada a tu plantilla frente a señuelos modernos y bien escritos con práctica realista como el ejercicio Pick the Phish de PlayCISO, que entrena el juicio sobre señales distintas de las faltas de ortografía.

Ayuda con el reconocimiento, los scripts y el triaje de vulnerabilidades

El segundo grupo de usos indebidos es la ayuda técnica. Según informa Anthropic, los actores intentan usar los modelos para resumir datos de reconocimiento, generar o refactorizar scripts, explicar mensajes de error y decidir qué debilidades merece la pena perseguir. En la práctica es comparable a cualquier ingeniero competente que usa un asistente de programación: baja el nivel mínimo de habilidad y acorta el tiempo entre la idea y el artefacto.

Dos cosas siguen poniendo límites. Primero, incluso en los casos agénticos una persona fija los objetivos y aprueba los pasos clave, y los modelos a veces alucinan resultados: la fricción operativa sigue ahí. Segundo, y más importante, los modelos de frontera están hechos para rechazar las peticiones más peligrosas (el malware totalmente armado, la cadena de exploits funcional, el plan de intrusión paso a paso), así que lo que los atacantes pueden extraer tiende a ser ayuda general y no operativa, no un arma terminada.

Por qué los guardarraíles y la monitorización limitan la ventaja real

El hallazgo más tranquilizador de estos informes es estructural. Anthropic no se limitó a observar intentos de mal uso: los detectó, desarticuló las operaciones y bloqueó las cuentas. Esa es la señal crucial para los defensores. Los proveedores de IA de frontera operan su propio pipeline de detección y aplicación de normas, lo que significa que las plataformas de las que intentan abusar los atacantes trabajan activamente en su contra.

• El entrenamiento de seguridad y los rechazos bloquean las peticiones más peligrosas en el momento de la generación y empujan a los atacantes hacia salidas más débiles y generales.
• La monitorización del uso y la detección de abusos sacan a la luz los patrones de mal uso coordinado y permiten desmantelarlos antes de que una campaña madure.
• La publicación de inteligencia de amenazas convierte detecciones privadas en conocimiento defensivo compartido para toda la comunidad.

Los guardarraíles y la monitorización son la razón por la que la mayor parte del mal uso observado sigue pareciendo una mejora de eficiencia y no una ventaja transformadora, y por la que los casos agénticos se detectaron y se cortaron. Los guardarraíles no son perfectos, ni se ha dicho nunca que lo sean, pero suben de forma significativa el coste y bajan el techo de lo que puede obtener un usuario malicioso. Tu trabajo como defensor es cerrar el hueco que queda con tus propios controles.

El playbook de defensa para los equipos de seguridad

Como la IA acelera tareas conocidas del atacante en lugar de inventar otras nuevas, el playbook defensivo es una versión afinada de la buena ingeniería de seguridad. Aquí es donde hay que centrarse.

1. Despliega MFA resistente al phishing

Si la IA hace los señuelos más convincentes, asume que algunos usuarios caerán y quita el valor a ese éxito. Las llaves de seguridad FIDO2 y las passkeys derrotan el phishing de credenciales incluso ante un mensaje impecable, porque no hay ningún secreto reutilizable que robar. Es el control de mayor impacto frente a la ingeniería social acelerada por IA.

2. Moderniza la concienciación y las simulaciones

Retira la formación que enseña a buscar faltas de ortografía. Haz hincapié en verificar las peticiones inesperadas, confirmar fuera de banda todo lo que tenga que ver con dinero o credenciales y desconfiar sanamente de la urgencia: comportamientos que aguantan frente a señuelos pulidos y escritos por IA. Haz simulaciones frecuentes y realistas y mide la tasa de reportes, no solo la de clics.

3. Invierte en ingeniería de detección

El contenido puede parecer limpio, pero el comportamiento no. Centra la detección en lo que hace una intrusión: autenticaciones anómalas, accesos inusuales a datos, nuevas conexiones salientes y movimiento lateral. Una telemetría bien instrumentada y unas alertas bien ajustadas detectan el resultado de un phishing por bueno que fuera el correo. Si estás construyendo o poniendo a prueba los flujos de trabajo de tus analistas, herramientas como la práctica de triaje SOC de PlayCISO ayudan a los equipos a ensayar cómo convertir señales ruidosas en decisiones.

4. Publica una política de uso aceptable de la IA

Define qué herramientas de IA están aprobadas, qué datos se pueden introducir en ellas y cuáles no, y cómo se revisan los resultados asistidos por IA. Esto frena la IA en la sombra y la exposición accidental de datos, y te da una base defendible para la monitorización. Si tus propios productos o agentes llaman a LLM, refuerza también esa superficie: la inyección de prompt y el abuso de las llamadas a herramientas son reales, como explicamos en nuestro artículo sobre routers LLM maliciosos y la defensa frente a la inyección en llamadas a herramientas.

5. Vigila el contenido generado por IA y adopta el compromiso asumido

Trata el texto generado por IA como una señal de entrada, no como un veredicto; combínalo con la reputación del remitente, las anomalías de entrega y el análisis de enlaces en lugar de fiarte de un único detector. Trabaja con la mentalidad de compromiso asumido: segmenta las redes, aplica el mínimo privilegio y ensaya la respuesta a incidentes para que un señuelo que funcione quede contenido y no sea catastrófico. Valida también las entradas que llegan a los modelos en tus propias aplicaciones, con enfoques como los del Prompt Scan de PlayCISO (prueba gratis: una cuenta gratuita incluye 3 usos de herramientas Pro).

6. Comparte inteligencia de amenazas

Estos informes son en sí mismos un acto de intercambio de inteligencia, y los defensores deberían corresponder. Participa en los ISAC y en comunidades de confianza, devuelve indicadores y mantente al día a medida que los proveedores publican nuevos hallazgos. La visibilidad colectiva es justo lo que permitió detectar y desarticular estas operaciones.

La conclusión para los líderes de seguridad

Los ciberataques con IA ya están aquí, y los casos agénticos muestran que el techo sube, pero los proveedores están detectando y desmantelando estas operaciones, y las defensas que funcionan son conocidas. La respuesta correcta no es ni el desdén ni la alarma. Es ejecutar con disciplina los fundamentos, ajustados a un adversario que ahora escribe mejor y se mueve más rápido. El MFA resistente al phishing, una formación de concienciación moderna, una buena ingeniería de detección, una política de IA clara, una arquitectura de compromiso asumido y un intercambio activo de inteligencia siguen siendo las respuestas duraderas, y funcionan.