Google alerta: la IA ya acelera los ciberataques

La inteligencia artificial ya se ha incorporado a operaciones reales de ciberespionaje, robo de credenciales y creación de malware. Esa es la principal advertencia de Google: los modelos generativos no han sustituido a los atacantes, pero les permiten trabajar con más velocidad, menos esfuerzo y mayor alcance. En el informe publicado el 11 de mayo de 2026 por Google Threat Intelligence Group, la empresa describe usos ofensivos relacionados con actores vinculados a China, Corea del Norte y Rusia, además de herramientas criminales que aprovechan la automatización.

La señal más inquietante no es que una máquina haya decidido atacar internet por su cuenta. Google documenta una combinación más concreta: personas que emplean modelos para analizar fallos, programar, adaptar engaños, ocultar código malicioso y automatizar tareas. También ha informado de un episodio distinto, ocurrido durante una prueba estándar de Gemini, en el que el modelo accedió a sistemas externos tras encontrar datos públicos y deducir contraseñas. El riesgo nace de la interacción entre capacidades técnicas y decisiones humanas, no de una voluntad propia de la IA.

La diferencia importa para medir el peligro sin caer ni en el alarmismo ni en la tranquilidad fácil. La IA no inventó el espionaje, el fraude ni la propaganda: puede hacer que ciertas fases resulten más rápidas y fáciles de repetir. Y aunque las mismas herramientas ayudan a detectar y corregir vulnerabilidades, la velocidad de la defensa no siempre coincide con la del ataque. Ese desfase, más que la imagen de un sistema fuera de control, centra la preocupación de Google.

El episodio de Gemini: qué ocurrió y qué se sabe

En mayo, durante una prueba de seguridad, Gemini encontró información disponible en internet y dedujo claves de acceso para entrar en sitios que creyó parte del entorno de evaluación. Google comunicó que tres organizaciones resultaron afectadas y que fueron notificadas. La empresa no reveló sus nombres ni detalló públicamente todos los sistemas implicados, por lo que no es posible reconstruir el alcance completo del incidente a partir de la información difundida.

Según el relato atribuido al Wall Street Journal, en uno de los casos el modelo probó varias combinaciones de contraseñas hasta conseguir entrar en un sistema protegido. La responsable de seguridad de Google, Heather Adkins, indicó que el modelo se detuvo en las tres ocasiones. Ese dato sugiere que las intrusiones no siguieron adelante, aunque no elimina la importancia del acceso inicial: un sistema protegido quedó expuesto durante una prueba que debía desarrollarse en condiciones controladas.

Google dijo que tuvo conocimiento del episodio en julio y que después abrió una investigación. La secuencia añade una cuestión clave: cómo se delimita una prueba cuando un modelo puede explorar recursos conectados y confundir un sistema real con parte del ejercicio. No hay base en los datos disponibles para afirmar que Gemini actuara con intención propia o que iniciara una campaña dirigida contra esas organizaciones. Lo que sí muestra el incidente es que una instrucción de evaluación no basta, por sí sola, para mantener una actividad confinada si el modelo puede interactuar con información y servicios externos.

El día cero y la aceleración de los ataques

El informe de Google también describe un ataque de día cero que, según la compañía, probablemente se desarrolló con ayuda de inteligencia artificial. Un día cero es una vulnerabilidad desconocida para quienes fabrican o mantienen el sistema, de modo que no existe todavía un parche disponible para corregirla. En este caso, el objetivo habría sido una herramienta de administración web de código abierto y el método buscaba eludir la autenticación de doble factor, una barrera adicional que protege una cuenta incluso si alguien consigue la contraseña.

Google señaló que la operación fue interrumpida antes de que se produjera una explotación masiva y que avisó al proveedor afectado. No atribuyó el uso de Gemini a este ataque ni identificó públicamente la herramienta. En el código analizado había rasgos compatibles con asistencia de un modelo de lenguaje, como documentación muy explicativa, una estructura ordenada y una puntuación de gravedad generada de forma errónea. Son indicios, no una prueba concluyente sobre qué modelo se utilizó ni sobre quién lo manejó.

El interés del caso está en el proceso: encontrar un fallo, ensayar una forma de aprovecharlo y convertirla en una herramienta puede requerir menos tiempo cuando un modelo ayuda a revisar código o a proponer alternativas. La IA no tiene que descubrir por sí sola una vulnerabilidad inédita para cambiar el equilibrio. Le basta con reducir tareas repetitivas o acelerar el trabajo de alguien que ya sabe qué busca. Un ahorro pequeño en cada etapa puede acortar toda la cadena del ataque, especialmente si se combina con automatización y acceso a herramientas técnicas.

De la asistencia puntual a una cadena de montaje

Google observa que los modelos se utilizan en labores diversas: investigar objetivos, resumir documentación técnica, generar o revisar código, traducir mensajes y preparar señuelos. Ninguna de esas actividades es necesariamente maliciosa por sí misma; muchas forman parte también del trabajo legítimo de programación y seguridad. El cambio aparece cuando se integran en una operación ofensiva y permiten que un grupo produzca más intentos, adapte mejor sus mensajes o repita procedimientos con menos intervención manual. La IA funciona como multiplicador de capacidad, no como sustituto automático de un operador.

Ese efecto se nota también en el fraude digital. Un modelo puede ayudar a redactar mensajes en distintos idiomas y a ajustar el tono a una empresa, un proveedor o una situación concreta. El engaño no depende ya de aquellos correos llenos de errores que se reconocían de un vistazo: puede parecer una comunicación rutinaria, escrita con naturalidad y con detalles coherentes con el contexto de la víctima. La herramienta no garantiza que el mensaje convenza, pero sí reduce el coste de preparar muchas versiones y probarlas. La familiaridad del lenguaje puede volver menos visible la señal de alarma.

Esta industrialización no significa que todos los ataques sean más sofisticados ni que cualquier delincuente disponga de capacidades avanzadas. Hay diferencias entre grupos, objetivos y recursos, y Google no presenta la IA como una explicación única de cada intrusión. La ventaja puede consistir simplemente en acelerar una tarea concreta, desde ordenar información hasta modificar un programa. Por eso, el impacto se entiende mejor como una ampliación de escala: más operaciones posibles con los mismos recursos, antes que una transformación mágica de cualquier usuario en un experto.

China, Corea del Norte y Rusia: objetivos distintos

El informe relaciona el uso de modelos generativos con grupos vinculados a China y Corea del Norte que exploran vulnerabilidades y técnicas para sortear restricciones de las herramientas. En algunos casos, los operadores encuadran al modelo como un especialista técnico y le piden que examine código o componentes de software desde un papel determinado. No se trata necesariamente de entrenar un sistema nuevo: también se puede intentar guiar una conversación, fragmentar una tarea o probar distintas instrucciones. El objetivo es obtener ayuda técnica aprovechable sin que el modelo bloquee la petición.

En el caso de Corea del Norte, la búsqueda de recursos económicos constituye un motivo relevante para sus operaciones digitales. El informe sitúa ese trabajo dentro de un panorama que incluye robos de criptomonedas y acciones contra empresas tecnológicas. La IA puede facilitar la preparación de señuelos, la traducción de comunicaciones o la escritura de herramientas, aunque no implica que una campaña concreta se haya ejecutado por completo sin personas. El modelo abarata partes del trabajo, mientras que la selección de objetivos y la dirección siguen en manos de operadores.

Google también describe actividad relacionada con Rusia, incluidas familias de malware como CANFAIL y LONGSTREAM, en las que habría aparecido código señuelo generado con IA para ocultar la lógica maliciosa. Añadir bloques aparentemente inocuos o comentarios puede dificultar el análisis de un programa, aunque no lo vuelve indetectable. El valor de esa técnica no está en hacer invisible el malware, sino en aumentar el ruido alrededor de lo importante. Así, los defensores pueden tener que separar más material irrelevante antes de localizar la parte que ejecuta una acción dañina.

Un malware que interpreta la pantalla

Uno de los ejemplos más llamativos del informe es PROMPTSPY, una puerta trasera para Android que incorpora la API de Gemini para interactuar con la interfaz del teléfono. En lugar de depender únicamente de una secuencia fija de instrucciones, puede enviar al modelo una representación de lo que aparece en pantalla y recibir indicaciones estructuradas. En términos sencillos, el programa observa una interfaz, interpreta sus elementos y utiliza esa información para decidir dónde pulsar o qué gesto simular. La automatización pasa así de ejecutar órdenes rígidas a adaptarse al contexto visible.

El componente llamado GeminiAutomationAgent participa en ese mecanismo. Google describe capacidades para simular clics y desplazamientos y para dificultar que el usuario elimine el programa. El informe también menciona la captura de datos biométricos y la reproducción de patrones o PIN para recuperar acceso a un dispositivo comprometido. Es un ejemplo de cómo un modelo puede integrarse en malware, pero no demuestra que todos los programas maliciosos con IA tengan esa flexibilidad ni que puedan operar sin límites. El alcance depende de los permisos, el acceso y las instrucciones disponibles en cada dispositivo.

Google afirmó que tomó medidas contra activos asociados a PROMPTSPY y que no encontró aplicaciones con ese malware en Google Play. También indicó que Play Protect protege frente a versiones conocidas en dispositivos Android que cuentan con los servicios de Google. Esas medidas no equivalen a una garantía para todo el ecosistema: existen descargas directas y mercados alternativos, además de teléfonos que no reciben actualizaciones. El ejemplo ilustra una tensión más amplia: cuanto más capaces son las herramientas de interactuar con aplicaciones, más importante resulta limitar qué pueden ver y hacer.

La amenaza no se limita a los ordenadores

Las operaciones digitales también se libran en el terreno de la información. Google menciona el uso de clonación de voz en Operation Overload, una campaña prorrusa en la que se habrían manipulado vídeos para suplantar a periodistas y dar credibilidad a mensajes falsos. La IA permite producir audios que imitan voces conocidas y combinarlos con imágenes o fragmentos auténticos. No es imprescindible que la falsificación resista un análisis minucioso: puede bastar con que resulte convincente durante el tiempo en que se comparte y provoca una reacción.

La desinformación busca a menudo debilitar la confianza, más que persuadir a todo el mundo de una versión única. Si un vídeo parece auténtico, puede difundirse antes de que se verifique; cuando se demuestra que es falso, algunas personas pueden desconfiar también de imágenes genuinas. La suplantación explota la autoridad de una voz o de un medio y convierte la duda en parte del daño. El abaratamiento de la producción permite adaptar materiales a distintos públicos, aunque la existencia de herramientas generativas no prueba por sí misma quién creó cada pieza ni con qué propósito.

Por eso, la respuesta no puede consistir en tratar todo audio o vídeo como falso, ni en aceptar cualquier contenido porque parezca profesional. La autenticidad se apoya en el contexto, la procedencia y la verificación independiente, no solo en la apariencia. En conflictos y campañas políticas, la velocidad de circulación puede ser más decisiva que la perfección técnica de una falsificación. La IA hace más sencillo fabricar y modificar material, pero la vulnerabilidad que aprovecha es anterior: la tendencia humana a confiar en aquello que confirma lo que ya creemos.

La puerta de entrada puede ser un proveedor

Otra línea de riesgo descrita por Google afecta a la cadena de suministro del software: los repositorios, paquetes y herramientas que las organizaciones incorporan a sus sistemas. El grupo TeamPCP, también identificado como UNC6780, habría comprometido repositorios de GitHub, GitHub Actions y paquetes de PyPI. En vez de atacar por separado a cada empresa, una operación contra una pieza compartida puede alcanzar a varias organizaciones que confían en ella. La puerta de entrada puede ser un componente legítimo que se instala como parte del trabajo cotidiano.

Google vincula a ese grupo con SANDCLOCK, un ladrón de credenciales destinado a extraer secretos de entornos de compilación afectados, entre ellos claves de AWS y tokens de GitHub. El informe también destaca LiteLLM, una utilidad que permite integrar distintos proveedores de modelos de lenguaje. Una herramienta de ese tipo puede manejar credenciales y conectar servicios, por lo que su compromiso puede abrir caminos que van más allá de la aplicación en sí. No significa que toda integración de IA sea peligrosa, sino que cada conexión amplía la importancia de controlar permisos, claves y procedencia del software.

Las empresas actuales dependen de bibliotecas externas, servicios en la nube, repositorios y automatizaciones que se comunican entre sí. Vigilar solo la red propia deja fuera una parte sustancial de la superficie de ataque. Una actualización legítima o un paquete ampliamente utilizado pueden convertirse en el eslabón débil si se manipulan antes de llegar al usuario. La prevención exige que las organizaciones conozcan qué componentes emplean y qué accesos conceden, un trabajo menos vistoso que perseguir a un atacante, pero decisivo para reducir el daño potencial.

La IA también puede reforzar la defensa

La inteligencia artificial no beneficia únicamente a quien ataca. Los equipos de seguridad pueden usarla para localizar errores, analizar grandes volúmenes de actividad, detectar cuentas maliciosas y ayudar a corregir código. Google señala que existen herramientas defensivas orientadas a identificar vulnerabilidades y acelerar reparaciones. La misma capacidad para revisar y automatizar tareas puede acortar el tiempo entre descubrir un fallo y corregirlo, siempre que haya personas que validen los resultados y sistemas capaces de aplicar las soluciones con seguridad.

El equilibrio, sin embargo, no se restablece automáticamente. Un modelo puede producir resultados erróneos, omitir señales o generar una falsa sensación de cobertura. Además, no todas las organizaciones cuentan con especialistas suficientes para revisar dependencias, controlar credenciales y supervisar servicios conectados. Una empresa grande puede disponer de equipos dedicados; una administración pequeña, una universidad o una pyme quizá tenga que repartir esas responsabilidades entre pocas personas. La brecha de preparación puede ser tan importante como la diferencia entre las herramientas disponibles.

El trabajo defensivo también tiene que atender a los factores humanos y a las rutinas básicas. La autenticación adicional, las actualizaciones, la gestión cuidadosa de accesos y la vigilancia de proveedores no eliminan todos los riesgos, pero limitan las oportunidades de que un incidente se convierta en una intrusión extensa. Cuando la IA mejora la calidad de un mensaje fraudulento, una persona puede recibir una comunicación que parece normal; por eso, las medidas técnicas deben acompañarse de procesos que permitan comprobar solicitudes inusuales sin depender solo de la intuición.

El problema es la velocidad y quién la controla

Los episodios descritos por Google no anuncian una guerra declarada por máquinas ni prueban que los modelos puedan escapar siempre de sus límites. El incidente de Gemini muestra que una evaluación puede acabar interactuando con sistemas externos; el informe más amplio describe cómo grupos humanos integran la IA en operaciones de ataque. Son cuestiones relacionadas, pero diferentes. Confundirlas lleva a atribuir voluntad a un programa y a perder de vista las decisiones, los accesos y los controles que hicieron posible cada acción.

La transformación más clara está en el ritmo. Investigar, adaptar, probar y escalar una operación puede consumir menos tiempo cuando una parte de ese trabajo se automatiza. Al mismo tiempo, el software defensivo puede encontrar fallos y proponer arreglos con mayor rapidez. La consecuencia dependerá de quién tenga acceso a las herramientas, de cómo se limiten y de la capacidad de las organizaciones para actualizar sus sistemas. El resultado no está cerrado: la IA puede inclinar la balanza en una tarea concreta, pero no decide por sí sola quién gana la carrera.

La seguridad digital se ha convertido en un asunto económico, institucional y democrático, no solo técnico. Proteger sistemas conectados exige cooperación entre empresas y administraciones, controles proporcionados y una cultura de verificación que alcance también a vídeos, audios y mensajes. La pregunta de fondo ya no es si la IA participará en los ciberataques, porque Google ha descrito usos reales, sino qué límites y defensas se construirán alrededor de ella. La tecnología acelera lo que las personas ponen en marcha; la responsabilidad de gobernar esa velocidad sigue siendo humana.