La IA ya facilita los delitos online y podría empeorar: del spam a los deepfakes y el debate sobre el malware autónomo

Nota previa: el contenido recibido termina de forma abrupta, en mitad de la última frase, por lo que este análisis cubre todo el texto disponible pero no el cierre del artículo.

El artículo de MIT Technology Review, firmado por Rhiannon Williams, aborda una pregunta que divide a los expertos en ciberseguridad: hasta qué punto la IA generativa está cambiando ya el cibercrimen y cuánto podría empeorar. La tesis central es matizada. Los investigadores coinciden en que la IA está bajando la barrera de entrada para los delincuentes y aumentando el volumen de ataques. Discrepan sobre si estamos cerca de ataques totalmente autónomos.

El relato arranca con PromptLock. A finales de agosto del año pasado, el investigador Anton Cherepanov encontró en VirusTotal un archivo que activó sus sistemas de detección. Junto con su colega Peter Strýček concluyó que era un ransomware que usaba modelos de lenguaje en todas las fases del ataque. Podía generar código personalizado en tiempo real, mapear un equipo para identificar datos sensibles que copiar o cifrar y redactar notas de rescate personalizadas según el contenido de los archivos. Todo ello de forma autónoma y con un comportamiento distinto en cada ejecución, lo que dificulta su detección. Ambos publicaron que habían descubierto el primer ransomware impulsado por IA y la noticia tuvo gran eco mediático. Al día siguiente, sin embargo, un equipo de la Universidad de Nueva York reconoció que era un proyecto académico, diseñado para demostrar que se podía automatizar cada paso de una campaña de ransomware, y no un ataque real.

Aunque PromptLock fuera un experimento, el artículo sostiene que los delincuentes reales sí usan herramientas de IA para reducir el tiempo y el esfuerzo de sus ataques y para que atacantes menos expertos se animen a probar. Lorenzo Cavallaro, profesor de University College London, lo describe como "una realidad ineludible". Algunas voces de Silicon Valley advierten de que la IA está al borde de poder ejecutar ataques totalmente automatizados, pero la mayoría de los investigadores de seguridad lo considera exagerado. Marcus Hutchins, de Expel, conocido por frenar el ataque WannaCry en 2017, califica de "absurda" la obsesión con los "superhackers de IA". Los expertos piden mirar los riesgos más inmediatos, sobre todo el aumento en velocidad y volumen de las estafas y el uso de deepfakes para suplantar a personas.

Los delincuentes adoptaron la IA generativa casi desde la llegada de ChatGPT a finales de 2022, empezando por el spam. Un informe de Microsoft señaló que en el año previo a abril de 2025 la compañía bloqueó 4.000 millones de dólares en estafas y transacciones fraudulentas, "muchas probablemente ayudadas por contenido de IA". Según estimaciones de investigadores de Columbia, la Universidad de Chicago y Barracuda Networks, que analizaron cerca de 500.000 mensajes maliciosos anteriores y posteriores al lanzamiento de ChatGPT, al menos la mitad del spam se genera ya con LLM. En los ataques por correo dirigidos, que suplantan a una figura de confianza para sacar dinero o información a un empleado, al menos el 14 % estaba generado con LLM en abril de 2025, frente al 7,6 % de abril de 2024.

Los deepfakes son la otra pieza clave. El artículo recuerda el caso de 2024 en el que un trabajador de la ingeniería británica Arup transfirió 25 millones de dólares a delincuentes tras una videollamada con versiones digitales del director financiero y de otros empleados. Henry Ajder, experto en IA generativa, señala que los criminales no usan deepfakes por diversión sino porque funcionan y dan dinero. Hoy se necesitan muchos menos datos que antes para falsear la imagen o la voz de alguien, y es probable que ese caso sea solo la punta del iceberg.

Billy Leonard, responsable técnico del Threat Analysis Group de Google, describe una evolución. En la segunda mitad de 2024 su equipo vio a posibles delincuentes usar Gemini como cualquier usuario, para depurar código, automatizar tareas y escribir algún correo de phishing. En 2025 ya lo usaban para ayudar a crear nuevo malware y desplegarlo. Los modelos populares tienen salvaguardas, pero se eluden. Google observó a un actor vinculado a China pedir a Gemini que identificara vulnerabilidades en un sistema comprometido. Gemini se negó al principio, pero el atacante lo convenció haciéndose pasar por participante de una competición de tipo capture-the-flag. Google ha ajustado Gemini desde entonces para rechazar este tipo de peticiones.

Según Ashley Jess, analista de Intel 471 y antigua especialista del Departamento de Justicia de EE. UU., los atacantes recurrirán cada vez más a modelos de código abierto, porque resulta más fácil quitarles las salvaguardas y adaptarlos. El equipo de la NYU usó dos modelos abiertos de OpenAI en PromptLock y comprobó que ni siquiera necesitó técnicas de jailbreak. Meet Udeshi, doctorando de la NYU, explica que querían probar si unos LLM que se declaran éticamente alineados podían seguir usándose con esos fines, y la respuesta fue que sí. Admite que es posible que ya existan ataques encubiertos de tipo PromptLock que nadie ha visto. Para lograr un sistema autónomo real, los atacantes tendrían que superar la dificultad de que los modelos se comporten con fiabilidad y su posible aversión a usos maliciosos, y además evitar la detección, algo que el artículo califica de listón muy alto.

Los mejores datos sobre el uso malicioso proceden de las propias empresas de IA, y a primera vista suenan alarmantes. En noviembre, el equipo de Leonard publicó un informe según el cual actores maliciosos usaban herramientas de IA, incluido Gemini, para alterar dinámicamente el comportamiento del malware, por ejemplo para que se automodificara y evitara su detección, lo que describieron como "una nueva fase operativa del abuso de la IA". Pero el escritor de ciberseguridad Kevin Beaumont observó que las cinco familias de malware analizadas, PromptLock incluido, eran código fácil de detectar que no causó daño real, y que nada en el informe sugería que las organizaciones debieran apartarse de sus programas básicos de seguridad. Leonard reconoce que esta actividad está en una fase temprana, pero defiende publicar estos informes para que otros fabricantes construyan mejores detecciones.

En noviembre, Anthropic anunció que había interrumpido un ciberataque a gran escala, el primero reportado ejecutado sin "intervención humana sustancial". Según el informe, un grupo respaldado por el Estado chino usó el asistente Claude Code para automatizar hasta el 90 % de lo que llamaron una "campaña de espionaje altamente sofisticada". Hubo salvedades: un operador humano eligió los objetivos antes de encargar a Claude identificar vulnerabilidades, y de 30 intentos solo "un puñado" tuvo éxito. Además, Claude alucinó y fabricó datos, afirmando haber obtenido credenciales que no tenía y exagerando "con frecuencia" sus hallazgos, lo que obligaba a los atacantes a validar los resultados, un obstáculo para la autonomía total según el propio informe.

Gary McGraw, del Berryville Institute of Machine Learning, sostiene que los controles de cualquier organización razonablemente segura habrían frenado estos ataques. Afirma que la parte maliciosa, como la explotación de vulnerabilidades, la hicieron herramientas prefabricadas automatizadas desde hace 20 años, y que no había nada novedoso. Jacob Klein, responsable de inteligencia de amenazas de Anthropic, defiende lo contrario: encadenar tantos pasos de una intrusión mediante orquestación con agentes de IA es "sin precedentes" y convierte un proceso intensivo en trabajo en algo mucho más escalable. Añade que la barrera para las operaciones cibernéticas sofisticadas ha bajado de forma fundamental y que el ritmo de los ataques se acelerará más rápido de lo que muchas organizaciones están preparadas para afrontar. Hutchins replica que el entusiasmo por la IA lleva a la industria a sobrestimar las capacidades actuales y que no hay pruebas que respalden ese escenario.

De momento, los delincuentes parecen usar la IA sobre todo como herramienta de productividad: escribir código malicioso y cebos de phishing, hacer reconocimiento y traducir. Jess ve además herramientas a la venta en mercados clandestinos, como kits de phishing que comparan la tasa de clics de distintas campañas. Observa mucha actividad en lo que llama el "paisaje del AI slop", pero no tanta adopción generalizada por actores muy técnicos. Liz James, de NCC Group, recuerda que los ataques no necesitan ser sofisticados para ser eficaces: resultados "suficientemente buenos" permiten atacar a muchas más personas con un enfoque de escopeta.

En defensa, los investigadores se muestran optimistas. Leonard afirma que gran parte de las defensas y buenas prácticas recomendadas durante más de diez años sigue siendo válida, y muchos correos de phishing aún los detectan los filtros. La propia IA ayuda a defender, al ser buena detectando patrones: Vasu Jakkal, de Microsoft Security, dice que la compañía procesa cada día más de 100 billones de señales marcadas por sus sistemas de IA como potencialmente sospechosas. Jess valora que los defensores compartan información detallada, y cita iniciativas como Mitre Adversarial Threat Landscape for Artificial-Intelligence Systems y el GenAI Security Project de OWASP.

El artículo concluye que PromptLock no representa un ataque real, pero enseña que no conviene subestimar las capacidades técnicas de la IA. Udeshi dice que le sorprendió lo bien que la IA gestionó toda la cadena, desde mapear el sistema y decidir cómo entrar hasta redactar notas de rescate personalizadas: esperaban que fallara más adelante, pero vieron un éxito del 80 % al 90 % en todo el proceso. Los investigadores están seguros de que los ataques con IA aumentarán en volumen y gravedad, aunque no está claro qué formas adoptarán. El escenario más extremo sería un modelo capaz de crear y automatizar sus propios exploits de día cero, pero según Hutchins construirlo y alojarlo sin ser detectado exigiría miles de millones de dólares, solo al alcance de un Estado rico. Engin Kirda, de Northeastern University, no se sorprendería de que ya ocurriera, sobre todo en China. Por ahora es solo una posibilidad teórica: aún no ha aparecido una campaña a gran escala que sea eficaz y claramente impulsada por IA. Lo que sí se puede afirmar es que la IA generativa ya está bajando de forma notable el listón para los delincuentes. El texto recibido se corta justo cuando el artículo dice que seguirán experimentando con las novedades.