La IA agéntica ya se integra en las operaciones de los ciberdelincuentes

El último informe 'AI Threat Tracker de Google Threat Intelligence Group' (GTIG) constata que los actores de amenazas están utilizando la inteligencia artificial a lo largo de todo el ciclo de vida de las intrusiones, desde la investigación de objetivos hasta la ejecución automatizada de ataques. La compañía advierte además del creciente interés de los grupos criminales por la cadena de suministro de IA, los modelos propietarios y las infraestructuras de cómputo.

Los casos de uso avanzados de inteligencia artificial por parte de los ciberdelincuentes han dejado de ser experimentales. Así lo pone de manifiesto la última edición del informe 'AI Threat Tracker de Google Threat Intelligence Group (GTIG)', que analiza cómo los actores de amenazas están incorporando la IA de forma generalizada en sus operaciones para ganar velocidad, escala y capacidad de automatización.

El estudio, que actualiza las conclusiones publicadas por GTIG el pasado mes de mayo, aporta nuevos datos sobre el uso fraudulento de Gemini, la actividad detectada en el entorno criminal y las nuevas vías mediante las que los atacantes están aprovechando las capacidades de la inteligencia artificial. Una de las principales conclusiones es que su utilización ya no se limita a tareas concretas como la búsqueda de vulnerabilidades, sino que se extiende a distintas fases del ciclo de vida de una intrusión.

La incorporación de la IA está adquiriendo una dimensión transversal en el ecosistema de amenazas.

Entre los casos identificados figura Basin Castle, un grupo de ciberespionaje vinculado a China que utiliza modelos de lenguaje (LLM) para apoyar diferentes actividades, desde la investigación de objetivos hasta la resolución de problemas que aparecen durante una intrusión.

GTIG también ha identificado a otro grupo de ciberespionaje vinculado a China que trató de utilizar Gemini para desarrollar un marco automatizado de pruebas de penetración capaz de ejecutar de forma agéntica las primeras fases de una intrusión. El objetivo evidencia el creciente interés por sistemas capaces de encadenar tareas y tomar decisiones con una intervención humana cada vez menor.

Uno de los ejemplos más relevantes procede de Mandiant, que detectó una campaña masiva de robo de credenciales orquestada mediante una arquitectura multiagente desplegada sobre infraestructura robada. La operación consiguió comprometer de forma autónoma miles de credenciales en apenas seis horas, mostrando el potencial de la IA agéntica para acelerar determinadas campañas maliciosas.

El informe señala también un cambio de foco: los usuarios y los propios sistemas de inteligencia artificial se están convirtiendo en objetivos para los atacantes. La propiedad intelectual relacionada con la IA está adquiriendo un valor creciente, mientras que la aparición de una nueva cadena de suministro vinculada a estas tecnologías abre nuevas oportunidades de ataque contra desarrolladores, herramientas y asistentes de código.

Un ejemplo es TeamPCP, grupo que ha centrado parte de su actividad en la cadena de suministro de IA. Entre sus acciones figura la distribución de malware para comprometer sistemas de IA emergentes, la introducción de puertas traseras en herramientas empleadas por asistentes de código y el envenenamiento de metadatos de paquetes de código abierto.

Estas técnicas pueden utilizarse para manipular las recomendaciones de los asistentes de IA y conseguir que sugieran dependencias maliciosas a los desarrolladores. GTIG también ha identificado malware que incorporaba prompts maliciosos diseñados para provocar la ejecución subrepticia de comandos.

Por su parte, Mandiant ha investigado varios incidentes dirigidos contra modelos y datos propietarios de IA pertenecientes a organizaciones de los sectores tecnológico, sanitario y de medios de comunicación y entretenimiento en Norteamérica y Europa. En algunos de estos casos, los atacantes llegaron a amenazar con hacer pública la información sustraída si las víctimas no pagaban un rescate.

La creciente demanda de recursos de inteligencia artificial está llevando asimismo a los atacantes a buscar fórmulas para acceder a modelos y capacidad de computación sin asumir sus costes. Según GTIG, el robo de credenciales y la adquisición de capacidades en la darknet forman parte de esta estrategia.

Los modelos locales constituyen otra vía de interés para los grupos de amenazas, ya que pueden alojarse en infraestructuras comprometidas y permitir a los atacantes operar fuera de los mecanismos de monitorización asociados a servicios comerciales de IA.

El grupo UNC6508, vinculado a China y responsable de una importante campaña de intrusión contra centros médicos estadounidenses, ha sido observado utilizando entornos cloud comprometidos para alojar un modelo local.

En abril de 2026, durante una intervención de Mandiant, otro atacante aprovechó el acceso obtenido a una infraestructura para desplegar sistemas de IA destinados a mantener cargas de trabajo no autorizadas. Para ello utilizó entornos cloud secuestrados y aprovisionó instancias de computación GPU de alto rendimiento a costa de la víctima.

También se ha detectado a trabajadores de TI vinculados a Corea del Norte realizando registros masivos de API de modelos de lenguaje mediante cuentas secuestradas, con el objetivo de ampliar sus operaciones.

Para John Hultquist, Chief Analyst de Google Threat Intelligence Group, la incorporación de la IA está adquiriendo una dimensión transversal en el ecosistema de amenazas.

“Llegados a este punto, podemos asumir que todos los actores de amenazas utilizan la IA de una u otra forma y que sus operaciones se han visto beneficiadas. Al igual que el resto del sector, nos preocupa el problema de las vulnerabilidades, pero la IA se está aplicando en muchas otras áreas. El reto será especialmente complejo a medida que se ejecute de forma agéntica, creando un adversario más rápido y a mayor escala. Los cibercriminales, como los que llevaron a cabo una campaña masiva en solo seis horas, se inclinarán hacia ataques que se ejecuten a mayor velocidad de la que podemos responder. Para escalar y conseguir recursos de IA, los atacantes recurrirán al robo. Incluso los grupos de ciberespionaje como UNC6508 están dispuestos a utilizar sistemas comprometidos; en su caso, emplearon un modelo local que les permitió eludir las herramientas de monitorización comercial. Existe una nueva generación de cibercriminales, como TeamPCP, que atacará los sistemas de IA a medida que los integremos en nuestra infraestructura tecnológica. Por el momento, su principal foco está en la cadena de suministro, pero está claro que buscarán nuevas oportunidades”.

Las conclusiones de GTIG apuntan así a una evolución del riesgo que acompaña a la expansión de la inteligencia artificial. El desafío no reside únicamente en impedir que los atacantes utilicen modelos de IA para mejorar técnicas conocidas, sino también en proteger los propios modelos, datos, herramientas, APIs, cadenas de suministro e infraestructuras de computación que forman el nuevo ecosistema tecnológico.