Google confirma el primer robo masivo de credenciales ejecutado por agentes de IA en 6 horas: la ciberdefensa ya no da abasto

Por Zendoric · 9 de septiembre de 2026.

Google ha documentado, con más granularidad que hasta ahora, un salto operativo real en el uso ofensivo de la inteligencia artificial: agentes autónomos capaces de planificar, escribir y ejecutar un ciberataque completo sin intervención humana directa. Según el informe 'AI Threat Tracker', publicado este martes por el Grupo de Inteligencia sobre Amenazas de Google (GTIG, la unidad que rastrea actores de amenaza estatales y criminales), campañas de robo masivo de credenciales orquestadas mediante arquitecturas multiagente —varios modelos de IA coordinados entre sí, cada uno con una tarea distinta— y desplegadas sobre infraestructura robada han comprometido miles de accesos en apenas seis horas.

El dato importa por lo que mide, no solo por lo que dice: seis horas es una ventana muy por debajo del tiempo de reacción típico de un equipo de seguridad corporativo, que suele contarse en días. GTIG lo resume como 'multiplicador de fuerza': la IA no inventa ataques nuevos, acelera y escala los que ya existían, concentrados por ahora en los sectores tecnológico, sanitario, de medios y entretenimiento, en Europa y Norteamérica.

El informe atribuye actividad concreta a varios grupos —atribución que trasladamos a la fuente, GTIG, no como hecho verificado de forma independiente por Zendoric—. Según Google, un actor vinculado a China identificado como Basin Castle usa modelos de lenguaje para investigar objetivos en tiempo real y resolver errores de código durante la propia intrusión; un grupo denominado TeamPCP centra su actividad en la cadena de suministro de software, con malware diseñado para manipular asistentes de programación de IA y sugerir enlaces maliciosos a desarrolladores; y colectivos vinculados a Corea del Norte secuestran cuentas legítimas para conectar en masa sus sistemas a plataformas de IA y optimizar así la generación de código malicioso y el espionaje industrial. Google señala también actividad vinculada a Rusia e Irán, sin más detalle en lo publicado.

Más allá del ataque puntual, GTIG describe un objetivo de más recorrido: los propios cibercriminales roban propiedad intelectual ligada al desarrollo de IA y secuestran capacidad de cómputo en la nube para ejecutar sus propios modelos. En paralelo, documenta acopio de datos cifrados bajo la lógica de 'cosechar ahora, descifrar después': guardar hoy lo que no se puede romper, a la espera de que una futura capacidad lo haga posible.

El contexto inmediato ayuda a situar el momento: un mes antes, OpenAI había pausado el despliegue de un modelo (Astra) al calificar de 'crítico' su propio riesgo de ciberseguridad, tras demostrar capacidad para identificar vulnerabilidades y trazar ataques de forma autónoma. Dos laboratorios distintos, la misma alarma: la frontera de la capacidad ofensiva ya no es solo teórica ni de laboratorio, se está viendo en tráfico real.

Aquí conviene separar el titular del dato duro. En Zendoric venimos insistiendo en que los benchmarks de ciberseguridad más citados están saturados y ya no discriminan bien qué modelo es realmente peligroso; lo que informa de verdad son las tareas 'unguided' (sin ayuda humana), tipo AISI o CVE-Bench. El informe de Google no es un benchmark, es telemetría de ataques reales, y por eso pesa más: confirma en producción lo que los benchmarks solo insinuaban en laboratorio.

La cita de John Hultquist, analista jefe de GTIG, resume el problema estructural: el reto se complica a medida que la IA actúa de forma autónoma, creando —en sus palabras— 'un adversario más rápido y a mayor escala', porque los criminales se inclinarán hacia ataques que se ejecuten más rápido de lo que la defensa puede responder. Es una admisión incómoda viniendo de quien vende, precisamente, ciberdefensa basada en IA.

Nuestra lectura: esto es exactamente el tipo de coste de corto plazo que no conviene minimizar. La misma arquitectura agéntica que multiplica la productividad de un desarrollador o un analista de seguridad multiplica también la de un atacante, y lo hace de forma asimétrica: defender una infraestructura entera lleva más tiempo que encontrar el eslabón débil. Mientras la defensa dependa de ciclos de detección y parcheo medidos en días y el ataque se ejecute en horas, el desequilibrio crece antes de corregirse. No se resuelve prohibiendo la tecnología —los mismos laboratorios que la venden como defensa, Google incluido, son los que documentan su uso ofensivo—, sino igualando la carrera: más inversión en agentes defensivos desplegados al mismo ritmo que los ofensivos, y gobernanza basada en evidencia de ataques reales, no en pánico.

A medio plazo, el patrón que describe GTIG —robo de propiedad intelectual de IA, secuestro de cómputo en la nube, acopio de datos para descifrado futuro— apunta a algo más amplio que el cibercrimen clásico: la capacidad de cómputo y los propios modelos se han convertido en el activo que se roba, no solo en el medio para robar otra cosa. Es la misma lógica que ya asoma en los controles de exportación de chips: cuando el bien más valioso es el acceso a IA de frontera, controlarlo, robarlo o sabotearlo pasa a ser el objetivo en sí mismo.

Nada de esto cambia la tesis de fondo de Zendoric: la misma tecnología que aquí se documenta como arma es la que, en el resto de la industria, acelera diagnósticos médicos o multiplica la producción de energía limpia. Pero la transición hacia la abundancia no es automática ni gratuita, y la ciberseguridad es uno de los frentes donde el coste de corto plazo se paga ya, en tiempo real, no en un futuro hipotético.