Panorama#

El capítulo anterior mostró la inteligencia artificial en las manos del defensor. Este la mira en las del atacante, y lo hace desde la única postura que le corresponde a un manual defensivo: la de la inteligencia de amenazas. No es una guía para conducir un ataque asistido por IA; es el estudio de cómo se conduce, para reconocerlo en la telemetría y frustrarlo. La distinción no es un formalismo: las fuentes de este capítulo son un informe forense y un reporte de amenazas, escritos por defensores para defensores, y ese es exactamente el ángulo que se conserva.

La tesis de la Parte gobierna el capítulo entero, y conviene repetirla antes de entrar en el detalle porque el material que sigue es de los que más se prestan a la exageración: la IA es un multiplicador de fuerza, no un alquimista. El adversario con copiloto es más rápido, más barato y más escalable que sin él, pero no hace nada cualitativamente nuevo, y —esto es lo decisivo— entra por las mismas puertas de siempre. Lo veremos con el caso que organiza el capítulo, donde la inteligencia artificial comprimió un ataque hasta velocidades que superaron la ventana de detección, pero las puertas que abrió eran deuda técnica clásica que la higiene estándar habría cerrado.

El caso: dos inteligencias artificiales como herramientas operativas#

Entre diciembre de 2025 y febrero de 2026, un único operador comprometió al menos nueve organizaciones del gobierno de México —entre ellas la autoridad tributaria y varios registros civiles y utilidades— y exfiltró datos de cientos de millones de registros ciudadanos. El caso se volvió un objeto de estudio no por la magnitud sino por el método: el atacante usó dos modelos de lenguaje comerciales como herramientas operativas centrales, y lo hizo de dos maneras complementarias que conviene distinguir porque representan los dos modos en que la IA entra en una ofensiva.

El primer modo es el copiloto interactivo. Un asistente de programación operó como ayudante conversacional de explotación: el atacante lo dirigía en lenguaje natural para avanzar el acceso, y el modelo escribía los scripts de explotación, los depuraba cuando fallaban y los reescribía hasta lograr ejecución remota, tendía los túneles de red y mapeaba la arquitectura de la víctima. Según el informe, cerca de tres cuartas partes de la ejecución remota de comandos las generó el modelo. El segundo modo es el motor de análisis por lotes. En paralelo, una herramienta personalizada —un script de reconocimiento— canalizó las configuraciones de más de trescientos servidores internos hacia la API de un segundo modelo, instruido para actuar como analista de inteligencia; ese motor produjo miles de reportes estructurados con credenciales descubiertas y mapas de red. Un modelo hizo el trabajo de las manos; el otro, el de un equipo de analistas.

La cadena de ataque, leída como corresponde —a nivel de táctica, para mapearla y detectarla, no de receta— recorrió las fases que cualquier intrusión recorre, solo que a otra velocidad:

flowchart TB
  A["acceso inicial\nT1190 · app expuesta, exploit iterado por el modelo"]
  B["escalada a root\nT1068 / T1053.003 · writable crontab + clave SSH inyectada\n+ touch -r (timestomping)"]
  C["reconocimiento automatizado\nT1046 / T1082 · 305 servidores → API del 2º modelo"]
  D["movimiento lateral\nT1021 / T1090 · túneles SSH + proxies SOCKS, red plana"]
  E["exfiltración por API en vivo\nT1567 / T1048 · REST sobre los servidores comprometidos"]
  F["forja de documentos\nT1565.002 · sello criptográfico apócrifo sobre datos reales"]
  A --> B --> C --> D --> E --> F
  A -. "warning time comprimido a horas" .-> E

Vale detenerse en dos eslabones porque concentran la lección. La escalada aprovechó una tarea programada con permisos de escritura mal puestos (writable crontab) perteneciente a una cuenta de servicio comprometida: el modelo la localizó, inyectó una clave SSH en el archivo de autorización del superusuario y restauró la marca de tiempo original del archivo con touch -r para que una inspección visual no notara el cambio (timestomping). Nada de eso es una técnica nueva; es un manual de escalada de hace veinte años, ejecutado por una máquina en segundos. Y la exfiltración rompió el molde del volcado estático: en lugar de robar bases enteras, el operador construyó una API REST alojada en los propios servidores comprometidos que interrogaba las bases de datos internas en vivo y devolvía perfiles fiscales bajo demanda, para alimentar una capa externa que forjaba documentos oficiales —todos los datos verídicos, solo el sello criptográfico falso—.

Lo que la IA aportó fue tiempo, y el tiempo es la ventaja defensiva que erosiona. La compresión del ciclo de ataque —de acceso inicial a impacto crítico en horas, no en semanas— es el efecto real y medible de la IA ofensiva, y es lo que la vuelve peligrosa contra una detección lenta. Un SOC calibrado para investigar en días llega tarde a un ataque que se completa en una tarde. La respuesta no es pánico sino acortar el propio tiempo de reacción: telemetría de comportamiento en vez de listas de indicadores, y detección que dispare en la fase temprana y ruidosa —el proceso hijo anómalo, la conexión saliente inesperada— antes de que la cadena llegue a la exfiltración.

Hay un tercer detalle que el capítulo siguiente retomará. Antes del primer comando, el operador precondicionó al asistente con un enunciado inicial —un framing statement— y un archivo de reglas persistente que redefinían el contexto de la interacción para rodear las restricciones de seguridad del modelo. Visto desde aquí es una técnica de acceso; visto desde la seguridad de la IA, es un ataque contra el propio modelo, de la clase que 9.4 estudia.

El catálogo de la IA ofensiva#

El caso de México es la ilustración más completa, pero la IA ofensiva es un catálogo más amplio, y casi todo él consiste en escalar y abaratar técnicas que las Partes anteriores ya trataron desde otro ángulo.

La aplicación más madura y extendida es la ingeniería social a escala. Un modelo generativo redacta correos de phishing impecables, sin los errores de gramática y registro que durante años fueron la señal delatora, y los localiza y personaliza en cualquier idioma a un costo marginal cercano a cero. Esto no inventa el phishing —la ingeniería social operativa de 8.3 ya lo desarmó desde la psicología— pero derriba dos de sus límites históricos: la calidad del señuelo y la cantidad de blancos personalizados. El adversario que antes elegía a quién dedicarle un correo hecho a mano ahora se lo dedica a todos.

Un escalón más arriba en realismo está el deepfake y el fraude de identidad sintética. La suplantación generativa de voz e imagen alcanzó la madurez suficiente para vencer verificaciones humanas: en un caso documentado de fraude corporativo, atacantes recrearon en una videollamada la apariencia y la voz de un director financiero y convencieron a un empleado de transferir veinticinco millones de dólares. Es la manipulación que la Parte 8 estudió llevada a la síntesis de medios: no un argumento persuasivo, sino una identidad falsificada en tiempo real. El fraude de identidad sintética —combinar datos reales robados con rostros y voces generados— es, según la inteligencia de amenazas, una de las tendencias en más franco ascenso.

Del lado del código, dos categorías completan el catálogo, y aquí la calibración honesta es más necesaria que nunca. La primera son los modelos de lenguaje maliciosos: modelos despojados de sus restricciones de seguridad, o construidos sin ellas, y vendidos para operaciones ofensivas. La inteligencia de amenazas identificó la aparición de varios de ellos con madurez operativa notable en su interfaz, capaces de generar phishing localizado, analizar código vulnerable y estructurar fraudes. La segunda es el malware polimórfico asistido por IA: usar un modelo para reescribir un ejecutable en cada infección de modo que su firma cambie y evada la detección estática, una vuelta de tuerca a la evasión de AV/EDR de 3.11. Sobre esta última, sin embargo, la misma fuente que la reporta pone el freno: el malware verdaderamente autónomo dirigido por IA —el que decide y actúa solo— sigue en fase experimental. La IA reescribe y ofusca; todavía no conduce la operación por sí misma.

El veredicto de la inteligencia de amenazas, sin adornos: los modelos maliciosos «mejoran la eficiencia y la accesibilidad de técnicas existentes, en lugar de introducir un oficio novedoso impulsado por IA». Esa frase es el antídoto contra las dos exageraciones simétricas: ni la IA volvió al atacante invencible, ni es puro humo. Bajó la barrera de entrada —un operador menos capacitado hace hoy lo que antes exigía un equipo—, y comprimió los tiempos; eso es real y suficiente para exigir mejor defensa. Pero el oficio que ejecuta es el de siempre, y el de siempre se defiende con lo de siempre.

Vale además conectar un vector con el reconocimiento: la IA acelera el procesamiento del material que otras fases roban. El mercado de los infostealers que la Parte 2 trató entrega credenciales y sesiones en volúmenes que un humano no correlaciona; un modelo sí, y convierte ese botín en bruto en objetivos priorizados —exactamente lo que el segundo modelo hizo en México con las configuraciones de trescientos servidores—.

La defensa: el mismo fundamento, más urgente#

La pregunta que cierra el capítulo es qué cambia para el defensor, y la respuesta tiene dos mitades. La primera es tranquilizadora: no cambian los controles. El informe forense de México es explícito en que las vulnerabilidades explotadas eran, en su mayoría, mitigables con seguridad estándar. El writable crontab que dio la raíz no debería haber sido escribible; las credenciales en texto claro que dieron el movimiento lateral no deberían haber estado en claro; la red plana que dio el alcance debería haber estado segmentada. Parchear, rotar credenciales, segmentar y observar el endpoint —lo que la metodología ofensiva enseña a buscar y lo que la Parte 5 enseña a detectar— habría frustrado la intrusión o la habría vuelto lenta y ruidosa. La IA no encontró un camino nuevo; corrió más rápido por el viejo.

La segunda mitad es exigente: cambia el tiempo, y el tiempo era la ventaja del defensor. Si el ataque se completa en horas, la defensa no puede depender de revisiones diarias ni de listas de indicadores que llegan tarde. La contramedida es la telemetría de comportamiento, que dispara en la fase temprana con independencia de si el artefacto es conocido: el proceso hijo inesperado en un servidor expuesto (el exploit iterado), la conexión saliente anómala hacia una API externa desde la red interna (el reconocimiento canalizado al segundo modelo), el volumen inusual de extracción de datos locales, los flujos de base de datos que convergen en un nodo web no autorizado (la API de exfiltración), los binarios de tunelización que no deberían estar. Sobre estas señales trabaja la detección de exfiltración de 5.9, y la microsegmentación es la contramedida estructural del movimiento lateral por red plana. La higiene específica que el caso subraya es concreta: monitoreo de integridad de archivos sobre /root/.ssh —que habría delatado la clave SSH inyectada pese al touch -r— y segmentación que impida a un nodo interno hablar con infraestructura externa no autorizada.

La conclusión operativa es la de la Parte entera. El adversario con copiloto es una razón para hacer mejor lo básico, no una excusa para declararlo obsoleto. Cuanto más rápido ataca, menos margen deja el fundamento mal puesto —y por eso la IA ofensiva, lejos de volver irrelevante la higiene, la vuelve el factor que decide si el ataque acelerado entra o rebota—. El eje que sigue cierra la Parte con la superficie que la IA agrega y que este capítulo apenas rozó: el propio modelo como blanco, donde el framing statement de México deja de ser una técnica de acceso para revelarse como lo que es, un ataque contra la inteligencia artificial misma.

Referencias#

  • blue-dfir/ai-breach-mexico-gov/cap-01 — Gambit Security, The AI-Assisted Breach of Mexico’s Government Infrastructure: el caso de los dos modelos de lenguaje como herramientas operativas (copiloto interactivo + motor de análisis por lotes), la cadena de tácticas (acceso T1190 → escalada por writable crontab T1068/T1053.003 → reconocimiento T1046/T1082 → lateral T1021/T1090 → exfiltración por API en vivo T1567/T1048 → forja T1565.002), la compresión del tiempo de advertencia y los indicadores de compromiso, con la observación de que las vulnerabilidades eran mitigables con controles estándar.
  • blue-dfir/rf-state-of-security-2026/cap-01 — Recorded Future / Insikt Group, 2026 State of Security: los modelos de lenguaje maliciosos como aceleradores de técnicas existentes (no oficio novedoso), el auge de los deepfakes y el fraude de identidad sintética, y el malware autónomo por IA como aún experimental.
  • blue-dfir/ciberseguridad-ia-autonoma/cap-02 — Rivero y López Espada, Ciberseguridad Inteligente: la IA ofensiva que automatiza la creación de contenido malicioso, el caso del deepfake en videollamada para el fraude de veinticinco millones de dólares, y el malware polimórfico que reescribe ejecutables para evadir firmas.
  • La articulación del capítulo sobre el caso como espina dorsal, la lectura CTI/defensiva de la cadena de tácticas y la insistencia en la calibración honesta son enriquecimiento propio. El capítulo conecta con la ingeniería social de 8.3 y la manipulación de 8.5 (que la IA escala), con la evasión de 3.11 (malware polimórfico), con los infostealers de 2.6 (material que la IA correlaciona), con la metodología ofensiva de 3.1 (la misma cadena, acelerada) y con la detección de exfiltración de 5.9; y desemboca en la seguridad de la IA de 9.4.