¿Cómo usa la IA el cibercrimen? Google alerta de ataques más autónomos

La inteligencia artificial ya no sirve únicamente a los ciberdelincuentes para redactar correos de phishing convincentes, traducir mensajes o escribir fragmentos de código. El salto que acaba de documentar Google es bastante más serio: algunos grupos están utilizando agentes de IA capaces de planificar tareas, tomar decisiones intermedias, corregir errores y automatizar distintas fases de un ataque con una intervención humana mucho menor.

Eso cambia la velocidad del juego. El Grupo de Inteligencia sobre Amenazas de Google, conocido como GTIG, ha observado operaciones en las que la IA funciona como un auténtico multiplicador de fuerza. Una campaña de robo masivo de credenciales fue preparada y ejecutada en menos de seis horas mediante una arquitectura de varios agentes. No significa que internet esté siendo atacado por máquinas completamente independientes, sin humanos detrás, pero sí que la frontera entre automatizar una tarea y delegar buena parte de una operación empieza a hacerse incómodamente fina.

El aviso importa porque el problema ya no se limita a una IA que ayuda a escribir mejor un mensaje fraudulento. Google describe sistemas capaces de encadenar acciones, analizar lo que sucede durante la operación y modificar su comportamiento. Para quien defiende una red, ese cambio tiene una consecuencia muy terrenal: dispone de menos tiempo para darse cuenta de que algo va mal.

Del asistente al agente que toma decisiones

Durante los primeros años de la inteligencia artificial generativa, el uso criminal era bastante previsible. Un atacante podía pedir a un modelo que mejorase un correo fraudulento, tradujera un texto, explicara un error de programación o le ayudara a modificar código malicioso. Era, por decirlo de alguna manera, un delincuente utilizando un asistente digital.

Google sostiene que esa etapa está evolucionando hacia otra distinta. Los llamados agentes de IA no se limitan a responder una pregunta: pueden recibir un objetivo general, dividirlo en tareas, ejecutar acciones, comprobar resultados y cambiar de método cuando algo falla.

Ahí está la diferencia importante. Un sistema tradicional automatiza aquello que alguien programó previamente. Un agente avanzado puede decidir cómo continuar según lo que encuentra por el camino. No tiene voluntad propia ni se despierta una mañana con ganas de atacar un servidor, conviene rebajar la literatura apocalíptica, pero sí puede trabajar durante muchas fases con una supervisión humana mucho menor.

Google ha detectado grupos vinculados al espionaje estatal y al crimen organizado incorporando estas capacidades a operaciones reales. Actores relacionados con China, Rusia, Irán y Corea del Norte figuran entre los observados por sus investigadores, junto a organizaciones criminales cuyo interés resulta bastante más prosaico: robar credenciales, datos o dinero.

Una campaña construida en menos de seis horas

Uno de los casos que mejor explica el cambio es una campaña de robo masivo de credenciales detectada durante el segundo trimestre de 2026. Los atacantes comprometieron recursos en la nube y utilizaron una arquitectura multiagente para construir y ejecutar la operación.

El proceso completo tardó menos de seis horas. Ese es probablemente el dato que mejor resume el informe, porque convierte una discusión bastante abstracta sobre agentes y modelos de lenguaje en algo fácil de entender: trabajos que antes exigían numerosos pasos manuales pueden comprimirse dentro de una tarde.

Los agentes podían gestionar el escaneo de vulnerabilidades, resolver problemas durante la operación, manejar cambios de direcciones IP y ejecutar el robo de credenciales con muy poca intervención manual. Google identificó también un sistema denominado Recon cuyo panel estaba preparado para organizar más de 23.800 secretos recopilados, incluidas claves API empleadas para servicios en la nube y plataformas de inteligencia artificial.

El detalle de las seis horas importa más que cualquier titular futurista. Antes, determinadas campañas sofisticadas podían exigir numerosos operadores coordinados durante días. Si parte de ese trabajo puede comprimirse de semejante manera, el defensor pierde uno de sus bienes más valiosos: tiempo para detectar y reaccionar.

El viejo atacante que lanza un programa automático y espera resultados sigue existiendo. Simplemente empieza a compartir escritorio con sistemas que no necesitan café, no se cansan y pueden revisar cantidades enormes de información a una velocidad difícil de igualar por un equipo humano.

Google pone un límite importante a la alarma

Hay, sin embargo, un matiz que conviene no sacrificar por un buen susto. La investigación describe una transición hacia sistemas altamente autónomos, pero eso no equivale a afirmar que todos los ciberataques funcionen ya sin intervención humana de principio a fin.

Lo que sí observa Google es el camino hacia allí. Los grupos más avanzados están mezclando modelos comerciales, sistemas abiertos, programas tradicionales y agentes especializados. La inteligencia artificial entra en diferentes momentos: reconocimiento de objetivos, elaboración de engaños, investigación de vulnerabilidades, creación y modificación de malware, resolución de errores durante una intrusión o análisis de la información robada.

No estamos ante una película donde un ordenador decide conquistar el mundo. El escenario, bastante menos cinematográfico y quizá por ello más preocupante, es un atacante haciendo en horas trabajos que antes necesitaban bastante más tiempo y, en ocasiones, más personas.

La inteligencia artificial también se ha convertido en botín

La historia tiene otra vuelta. Los atacantes no solo utilizan inteligencia artificial: también atacan directamente los sistemas de IA. Modelos, código, investigaciones internas, credenciales y capacidad informática son activos cada vez más valiosos y, como suele ocurrir cuando algo adquiere valor, aparecen quienes quieren llevárselo sin pasar por caja.

Google ha identificado intentos de robo de modelos propietarios y código fuente, además de credenciales que permiten acceder a servicios de inteligencia artificial. También ha observado el uso de entornos en la nube comprometidos para mantener cargas de trabajo de IA no autorizadas.

Es una consecuencia lógica del dinero y del conocimiento que se concentran alrededor de esta tecnología. Los modelos, sus datos y la infraestructura necesaria para desarrollarlos cuestan fortunas. Para un grupo de espionaje industrial, apropiarse de esa información puede resultar tan atractivo como robar los planos de una tecnología militar o el diseño de un nuevo procesador.

Y para el ciberdelincuente menos sofisticado existe una motivación todavía más sencilla: usar los recursos de otro. Las cuentas comprometidas, las claves API y la potencia de cálculo ajena permiten acceder a sistemas que, utilizados legítimamente y a gran escala, tendrían un coste considerable.

Google ha observado asimismo actores que roban credenciales o adquieren cuentas comprometidas para conectarse masivamente a servicios de IA. Se va formando así una pequeña economía clandestina de acceso: cuentas robadas, capacidad informática secuestrada, claves revendidas y servicios utilizados por terceros que no deberían estar allí.

Software abierto, asistentes y una puerta nueva

Uno de los puntos más sensibles aparece en la cadena de suministro de software, es decir, todo el conjunto de paquetes, bibliotecas y herramientas externas que los desarrolladores incorporan a sus proyectos sin escribir cada línea desde cero.

El grupo criminal identificado por Google como UNC6780, también conocido como TeamPCP, ha protagonizado desde marzo de 2026 campañas contra ecosistemas de software abierto como PyPI, npm y Docker Hub. Sus operaciones muestran hasta qué punto un ataque puede aprovechar la confianza que desarrolladores y empresas depositan en componentes aparentemente legítimos.

Los investigadores han observado técnicas destinadas no solo a engañar a personas, sino también a confundir asistentes de programación y herramientas automáticas que utilizan grandes modelos de lenguaje para revisar código. Ahí aparece una rareza muy propia de esta nueva etapa: malware que intenta engañar a otra inteligencia artificial para pasar desapercibido.

Durante años, el atacante intentaba engañar al usuario. Después aprendió a esquivar el antivirus. La siguiente pieza sobre el tablero puede ser el propio asistente de IA que ayuda al desarrollador a decidir qué código es seguro. Algunas técnicas detectadas recurren a la inyección de instrucciones dentro de archivos y configuraciones para influir sobre la herramienta automática que los analiza.

La seguridad informática adquiere así una capa nueva. Ya no basta con preguntarse qué hará una persona cuando vea determinado archivo, sino también qué interpretará la IA encargada de leerlo, revisarlo o incluso ejecutar determinadas acciones dentro de un entorno de desarrollo.

El espionaje también ha encontrado un acelerador. Basin Castle, un grupo vinculado por Google a China, ha empleado modelos generativos para investigar objetivos, preparar contenidos de ingeniería social, escribir código malicioso ofuscado y resolver errores técnicos después de una intrusión. Actores iraníes han usado estas herramientas para localizar objetivos, traducir mensajes y procesar información sustraída, mientras grupos vinculados a Corea del Norte las integran en campañas de ingeniería social y robo.

También aparecen actores relacionados con Rusia utilizando IA en labores de recopilación de información, automatización y desarrollo de herramientas. La tecnología no inventa el espionaje ni el cibercrimen. Simplemente les quita fricción, que en una operación digital significa menos tiempo, menos trabajo manual y mayor capacidad para repetir una misma táctica a escala.

La velocidad se convierte en el nuevo campo de batalla

La advertencia de Google coincide con un salto paralelo en las propias capacidades de los modelos más avanzados. OpenAI anunció en septiembre que GPT-6 Astra había alcanzado el nivel denominado crítico en ciberseguridad dentro de su marco de preparación.

Ese umbral contempla un modelo que, equipado con las herramientas y los accesos necesarios, puede encontrar fallos de seguridad desconocidos y desarrollar formas de explotarlos en numerosos sistemas bien protegidos sin necesitar que una persona dirija manualmente cada paso.

La compañía reforzó por ese motivo las salvaguardas alrededor del modelo antes de su despliegue. El dato sirve para entender algo más amplio que un producto concreto: las mismas capacidades que permiten a una IA encontrar vulnerabilidades para corregirlas pueden resultar atractivas para quien pretende encontrarlas antes que el propietario del sistema.

La paradoja está servida. Las herramientas capaces de localizar una brecha antes que un criminal pueden permitir que un criminal la localice antes que el responsable de seguridad. Durante un tiempo, la industria ha repetido que la IA beneficiaría especialmente a los defensores porque automatizaría la búsqueda de fallos. Puede ser cierto. El inconveniente es que los atacantes manejan tecnología similar.

Google considera que prácticamente todos los grandes actores de amenazas emplean ya inteligencia artificial de alguna forma. John Hultquist, analista jefe de GTIG, ha señalado que el verdadero reto llegará a medida que esas operaciones puedan ejecutarse con una autonomía creciente, a una velocidad que reduzca todavía más el margen de respuesta de las organizaciones.

Una empresa puede tardar horas en detectar una anomalía, verificarla, localizar al responsable, decidir qué sistemas aislar y movilizar a su equipo de seguridad. Frente a ella puede haber un adversario que ha comprimido en minutos tareas que antes consumían una jornada. La ciberseguridad siempre ha sido una carrera. Con los agentes de IA, alguien acaba de acelerar la cinta.

Cuando seis horas empiezan a parecer demasiado

Durante décadas, muchas defensas digitales se diseñaron alrededor de una idea implícita: el atacante también necesitaba tiempo. Tenía que investigar, probar, equivocarse, corregir código, analizar resultados y decidir el siguiente movimiento. Ese margen daba una oportunidad al otro lado.

La inteligencia artificial está erosionándolo. Google documenta operaciones reales más rápidas, agentes capaces de encadenar tareas, campañas que escalan con pocos operadores y sistemas de IA convertidos simultáneamente en herramienta y objetivo.

Eso no significa que las máquinas hayan sustituido al ciberdelincuente. El humano continúa definiendo objetivos, proporcionando accesos, preparando infraestructura y tomando decisiones críticas en numerosos casos. Lo que cambia es cuánto trabajo puede descargar sobre sistemas que automatizan procesos complejos y mantienen una operación en movimiento con menos pausas.

El cambio profundo quizá sea ese. Durante años se discutió si una inteligencia artificial sería suficientemente buena para atacar sistemas informáticos. En 2026 la cuestión empieza a adquirir una forma mucho más concreta: cuánto tiempo conservarán los defensores para reaccionar cuando el atacante también puede trabajar a velocidad de máquina.