IA en ciberseguridad: ataque y defensa

Última actualización: 26 de octubre, 2026

¿Qué es la IA en ciberseguridad? Es el uso de machine learning y agentes de IA en los dos lados de un incidente. Los atacantes la usan para encontrar fallos, redactar cebos y ejecutar intrusiones más rápido, y los equipos defensores la usan para detectar, priorizar y corregir. En 2026 hay un tercer frente: los agentes de IA que despliegan tus propios equipos son ya una nueva superficie de ataque.

TL;DR: Puntos clave

• Los atacantes han cruzado una línea. En mayo de 2026, el Google Threat Intelligence Group informó del primer actor de amenazas que identificó usando un zero-day que se cree desarrollado con IA, un bypass de doble factor en una herramienta de administración de código abierto.
• La velocidad es el verdadero cambio. El 2026 Threat Hunting Report de CrowdStrike (cifra del proveedor) halló que el 88 % de la explotación observada de vulnerabilidades con código de prueba de concepto público ocurrió en las 48 horas siguientes a su publicación, y el informe 2026 de ENISA indica que el 60,4 % de los accesos no autorizados con vector conocido implicó una vulnerabilidad.
• Las ganancias defensivas se pueden medir. El informe de brechas 2026 de IBM (cifra del proveedor) halló que el uso extensivo de IA y automatización en seguridad redujo el coste de las brechas en 1,93 millones de $ y las acortó en 65 días, y el borrador del Cyber AI Profile del NIST divide el tema en tres áreas de trabajo.
• Los agentes ya son objetivo. El OWASP Top 10 for LLM Applications 2026 sitúa Excessive Agency en tercer lugar, desde el sexto en 2025.
• Dos plazos de la UE importan ya. El reporte del Cyber Resilience Act empezó el 11 de septiembre de 2026, con una alerta temprana en 24 horas, y las obligaciones de alto riesgo de la AI Act pasaron al 2 de diciembre de 2027.

Cómo usan los atacantes la IA en ciberseguridad hoy

Los atacantes usan la IA para acortar el tiempo entre la divulgación de una vulnerabilidad y un exploit funcional, para escribir cebos más convincentes y para automatizar partes de una intrusión. La evidencia de 2026 muestra una ampliación de capacidades a escala y no un atacante totalmente autónomo, pero la ganancia de velocidad ya se puede medir.

Descubrimiento y explotación de vulnerabilidades con IA

Según el Google Threat Intelligence Group (2026), un actor de amenazas usó un exploit zero-day que los analistas creen desarrollado con IA. Era un script de Python que saltaba la autenticación de doble factor en una herramienta de administración web de código abierto muy popular. El fallo era un error de lógica semántica, una suposición de confianza fijada en el código, y los analistas llegaron a una confianza alta en que un modelo ayudó, con pruebas como una puntuación CVSS alucinada dentro del código. Google dice que no cree que se usara su propio modelo Gemini, y el proveedor fue notificado.

El mismo informe describe a APT45 enviando miles de prompts repetitivos para analizar CVE y validar código de prueba de concepto. También afirma que los atacantes aún no han encontrado la forma de esquivar la lógica de seguridad central de los modelos de frontera, y que actores vinculados a los Estados chino y norcoreano muestran interés en la IA para descubrir vulnerabilidades.

La lectura práctica para un equipo de seguridad es acotada pero importante. La IA abarata encontrar fallos de lógica, el tipo que los escáneres pensados para errores de memoria suelen pasar por alto. Tu revisión de exposición debería dar más peso que antes a la lógica de autenticación, las suposiciones de confianza y las interfaces de administración.

La velocidad es consecuencia de esto. El 2026 Threat Hunting Report de CrowdStrike (agosto de 2026) halló que el 88 % de la explotación observada de vulnerabilidades con prueba de concepto ocurrió en las 48 horas siguientes a su publicación en el primer semestre de 2026. Dos grupos identificados atacaron en las 24 horas posteriores a la divulgación. Los plazos de parcheo medidos en semanas ya no encajan con la amenaza.

Phishing e ingeniería social

La IA no cambia lo que es la ingeniería social. Mejora la calidad y el volumen. Google indica que los atacantes usan modelos de lenguaje para redactar phishing de mayor fidelidad, y el informe 2026 de ENISA sitúa el phishing en el 77,8 % de los incidentes de ingeniería social de 2025.

CrowdStrike añade el efecto posterior: las intrusiones por vishing se duplicaron, los intentos de phishing con device code se multiplicaron por 15, y un grupo pasó del robo de cuenta al robo de datos en menos de cinco minutos. Para los defensores, un empleado formado sigue siendo útil, pero los controles de identidad deben asumir que el cebo será bueno.

Uso malicioso de agentes y cadena de suministro de software

Las herramientas de IA también son una vía de entrega. CrowdStrike (2026) indica que el 87 % de las amenazas en registros de software del primer semestre de 2026 implicó paquetes npm maliciosos, y que un actor inyectó un paquete malicioso en 131 paquetes de confianza de un framework popular de agentes de IA. Google siguió una campaña de finales de marzo de 2026 que comprometió paquetes de desarrollo y seguridad de uso extendido y robó credenciales, y halló paquetes maliciosos disfrazados de skills de agentes.

CrowdStrike describe además una campaña que envió casi 200.000 peticiones a modelos de IA en dos minutos. Es actividad a velocidad de máquina, y la revisión humana no puede seguirle el ritmo.

De ataques asistidos a ataques agénticos

El informe 2026 de ENISA analizó 8.257 incidentes de 2025 y concluye que los atacantes usan sobre todo herramientas de IA de consumo para ampliar capacidades que ya tenían. Cita un informe de terceros sobre una intrusión en la nube asistida por IA que alcanzó acceso de administrador en ocho minutos, y evalúa que la IA muy probablemente apoyará más operaciones maliciosas, con pruebas de concepto sin humano en el bucle posibles en 2026.

Las dos lecturas son compatibles. La ganancia de hoy viene de comprimir cada paso: investigación, adaptación del exploit, redacción de cebos y uso de credenciales. Quien planifica para un adversario totalmente autónomo puede invertir de más en casos raros, y quien planifica para una versión más rápida del adversario actual corregirá lo correcto: velocidad de parcheo, refuerzo de identidad y detección de comportamiento a velocidad de máquina.

Cómo leemos la evidencia

Preferimos fuentes primarias de 2026, como ENISA, el Google Threat Intelligence Group y los textos oficiales de la UE. Cuando una cifra procede de la telemetría de un proveedor de seguridad, como CrowdStrike o IBM, la marcamos como cifra del proveedor y citamos el informe por su título y fecha. La telemetría de un proveedor refleja a sus clientes, así que trátala como orientativa.

Cómo usan la IA los defensores: detección, priorización y corrección

Los defensores usan la IA para detectar anomalías, priorizar alertas, automatizar el trabajo repetitivo del SOC, probar sus sistemas y, cada vez más, proponer correcciones. Los datos de 2026 indican que el beneficio es real cuando la IA se aplica a todo el ciclo con supervisión humana, no a una sola herramienta.

El Cost of a Data Breach Report 2026 de IBM (30 de julio de 2026), un estudio con cifras del proveedor, sitúa el coste medio global de una brecha en 4,99 millones de $. Las organizaciones que usaron IA y automatización de seguridad de forma extensiva tuvieron brechas 1,93 millones de $ más baratas y 65 días más cortas.

Automatización del SOC y red teaming

En un SOC, la IA ayuda más en los pasos repetitivos que consumen horas de analista: resumir alertas, enriquecer indicadores, agrupar duplicados y redactar una primera cronología del incidente. CrowdStrike indica que las pistas de detección activadas por agentes de IA crecieron 2,5 veces más rápido que las activadas por humanos, una cifra del proveedor que señala hacia dónde se mueve el esfuerzo de caza de amenazas.

El red teaming es el segundo uso. La generación automática de ataques permite que un equipo pequeño pruebe modelos y agentes contra injection, fuga de datos y abuso de herramientas en cada versión y no una vez al año. Importa sobre todo en agentes, cuyo comportamiento cambia con cada prompt, herramienta y fuente de datos.

Cuando evalúes un producto de IA defensiva, pide tres cosas: la tasa de falsos positivos con tus propios datos, la acción que ejecuta sin aprobación y el registro que deja para un auditor.

Dónde la supervisión humana sigue siendo esencial

El NIST Cyber AI Profile (NIST IR 8596), un borrador preliminar inicial publicado el 16 de diciembre de 2025, organiza el tema en tres áreas de trabajo: proteger los componentes de los sistemas de IA, realizar una defensa cibernética con IA y frenar los ataques con IA. El borrador se organiza en torno al NIST Cybersecurity Framework 2.0. Es un borrador, así que comprueba su estado final antes de citarlo en un documento de cumplimiento.

En la práctica, la corrección autónoma debería empezar por acciones de bajo riesgo y reversibles: crear tickets, enriquecer, contener un único endpoint. Los cambios en identidad, red o almacenes de datos de producción siguen necesitando un aprobador con nombre. Nuestra guía sobre human-in-the-loop en agentes de IA cubre el diseño de aprobaciones con detalle.

La nueva superficie de ataque: los agentes de IA como objetivo

Los agentes de IA amplían la superficie de ataque porque leen contenido no confiable, llaman a herramientas con permisos reales y conservan memoria entre sesiones. Un atacante ya no necesita vulnerar un servidor si puede convencer a un agente. ENISA (2026) señala que las aplicaciones de IA son cada vez más objetivo, sobre todo si acceden a credenciales.

Dos listas de OWASP dan un vocabulario común. El OWASP Top 10 for LLM Applications 2026 (3 de agosto de 2026) cubre la capa de modelo y aplicación. El OWASP Top 10 for Agentic Applications (9 de diciembre de 2025) cubre el comportamiento autónomo.

Lee la tabla como una ayuda para priorizar, no como una lista de verificación. Agency y unbounded consumption subieron, mientras que improper output handling cayó cinco puestos aunque el riesgo de fondo sigue ahí.

Prompt injection y uso indebido de herramientas

Prompt injection (LLM01) significa que un texto no confiable cambia lo que hace un modelo. En un agente, ese texto puede llegar por una página web, un correo o el resultado de una herramienta. La lista agéntica de OWASP nombra la consecuencia como Agent Goal Hijack (ASI01) y Tool Misuse (ASI02). El control que funciona no es un prompt mejor. Es un punto de aplicación de políticas que inspecciona entradas y salidas y limita lo que puede hacer cada llamada a una herramienta. Nuestro artículo sobre el AI gateway para IA agéntica explica dónde se sitúa ese punto para el tráfico MCP y entre agentes.

Un ejemplo corto muestra por qué. Un agente que resume el correo entrante y además puede enviar mensajes lee un mensaje con instrucciones ocultas. Sin un control en la salida, el agente las sigue y reenvía datos sensibles. Nada falló en el modelo. La arquitectura dio a un mismo componente una entrada no confiable y una herramienta potente. Nuestro artículo sobre qué es un servidor MCP muestra cómo se exponen las herramientas a los agentes.

Memory poisoning y abuso de identidad

Memory and Context Poisoning (ASI06) persiste entre sesiones, así que una sola entrada maliciosa puede influir en muchas decisiones posteriores. Identity and Privilege Abuse (ASI03) importa porque los agentes suelen actuar con credenciales de servicio amplias. IBM (2026) indica que el 92 % de las organizaciones con un incidente de seguridad relacionado con IA carecía de controles de acceso adecuados para la IA, y que el shadow AI, es decir, el uso de IA no aprobado, estuvo presente en el 43 % de las brechas, frente al 20 % del año anterior. Consulta autenticación MCP para acotar el acceso de los agentes.

MCP y protocolos entre agentes

Los protocolos crean nuevas fronteras de confianza. OWASP recoge Insecure Inter-Agent Communication (ASI07) y Agentic Supply Chain Vulnerabilities (ASI04) como riesgos distintos. Un servidor de herramientas, una skill o un agente par pueden llevar instrucciones hostiles. Trata cada uno como una dependencia no confiable: verifica el origen, fija versiones, acota las credenciales por herramienta y registra cada llamada. Los datos de cadena de suministro de arriba explican por qué. CrowdStrike (2026) y Google documentaron paquetes maliciosos dirigidos a herramientas de IA, así que una skill o un conector merece la misma revisión que cualquier código de terceros.

Gobernanza y regulación: AI Act, NIS2 y Cyber Resilience Act

Tres normas de la UE condicionan en 2026 los programas de IA en ciberseguridad. La AI Act fija obligaciones para los sistemas de IA, NIS2 regula los incidentes de entidades esenciales e importantes, y el Cyber Resilience Act regula el reporte de vulnerabilidades de los fabricantes. Las fechas cambiaron este año, así que comprueba cada una.

Bajo el CRA, los fabricantes envían una alerta temprana en 24 horas, una notificación detallada en 72 horas y un informe final 14 días después de que exista una corrección para las vulnerabilidades explotadas. En productos con IA, esto une en una sola cadena la gestión de vulnerabilidades, la velocidad de parcheo y las pruebas de IA. NIS2 también incluye la seguridad de la cadena de suministro y la gestión de vulnerabilidades entre sus diez medidas mínimas de gestión de riesgos.

El CRA se aplica a los fabricantes de productos con elementos digitales, así que una empresa que lleva software o dispositivos conectados a la UE necesita un flujo de reporte aunque nunca despliegue un agente de IA. Las empresas que integran componentes de IA en esos productos heredan los dos conjuntos de obligaciones.

Este artículo no es asesoramiento jurídico. Confirma la aplicabilidad con tu asesor legal.

Un programa práctico: inventario, controles, pruebas, monitorización y respuesta

Un programa viable tiene cinco partes: inventariar cada agente y servicio de IA, aplicar controles en runtime, probar de forma continua, monitorizar el comportamiento y preparar la respuesta a incidentes. Empieza por el inventario, porque no puedes proteger, probar ni reportar sistemas que no ves, y el uso de IA no aprobado ya es habitual.

1. Inventario. Lista agentes, modelos, herramientas, servidores MCP, fuentes de datos y responsables, incluidos los no aprobados. Con shadow AI en el 43 % de las brechas (IBM, 2026), descubrirlo es el primer control.
2. Controles en runtime. Pon la política en el punto donde los agentes llaman a modelos y herramientas. Inspecciona entradas y salidas, acota las credenciales por agente y por herramienta, y bloquea o transforma las acciones inseguras.
3. Pruebas. Ejecuta pruebas adversariales contra los agentes antes de cada versión y tras cada cambio: injection, indirect injection, fuga de datos y abuso de herramientas. Haz que una prueba fallida detenga el lanzamiento.
4. Monitorización. Registra prompts, llamadas a herramientas y datos consultados, y enlaza los hallazgos con trazas para que los analistas puedan reconstruir un incidente.
5. Respuesta a incidentes. Añade playbooks específicos para agentes: revocar las credenciales de un agente, poner en cuarentena un almacén de memoria, desactivar un servidor de herramientas. Alinea los plazos de reporte con NIS2 y el CRA.

Mide el programa con pocas cifras que muestren control y no actividad: el porcentaje de agentes con un responsable con nombre, el porcentaje de llamadas a herramientas que pasan por un punto de política, el tiempo entre un cambio en un agente y una prueba de ataque completada, y el tiempo para revocar las credenciales de un agente.

Seguridad y gobernanza: proteger los agentes de IA en producción

Los riesgos para la empresa son prompt injection, fuga de datos, uso indebido de herramientas y permisos excesivos. IBM (2026) halló que los ataques impulsados por IA añaden unos 1 millón de $ al incidente medio, y OWASP sitúa Excessive Agency en tercer lugar. Los controles deben actuar en runtime, porque los agentes van más rápido que las revisiones.

NeuralTrust, una empresa de seguridad para agentes de IA con sede en Barcelona, ofrece cuatro capacidades en su plataforma Runtime Security Mesh:

• Agent Runtime Security (TrustGuard) aplica una política en línea a entradas y salidas y puede permitir, bloquear o transformar una petición. NeuralTrust incluye prompt injection y resultados de herramientas envenenados entre las amenazas que cubre, enlaza los hallazgos con trazas y admite despliegue SaaS, híbrido y on-premises. Consulta Agent Runtime Security.
• AI Red Teaming (TrustTest) ejecuta pruebas de ataque automatizadas contra modelos, agentes y APIs. En CI/CD, un ataque fallido bloquea el merge. Consulta AI Red Teaming.
• Agent Posture Management (TrustLens) construye un inventario que incluye agentes que nunca se registraron, puntúa el riesgo y prioriza la corrección. Consulta Agent Posture Management.
• Agent Gateway (TrustGate) enruta las llamadas a modelos, MCP y entre agentes por un único punto de control con control de acceso por agente y por herramienta. Consulta Agent Gateway.

Encajan con el programa de arriba: posture para el inventario, el gateway y la seguridad en runtime para los controles, el red teaming para las pruebas y las trazas para la monitorización. Son capacidades declaradas por el proveedor, así que valídalas en una prueba de concepto con tus propios agentes.

¿Qué enfoque encaja con tu organización?

Elige según tu madurez y según dónde se ejecutan hoy los agentes. Un equipo con unos pocos copilotos aprobados necesita primero inventario y política. Un equipo que lanza sus propios agentes necesita pruebas en CI y un gateway. Un fabricante regulado necesita reporte y trazabilidad desde el principio.

Conclusión

La IA en ciberseguridad tiene ya tres partes que necesitan responsables distintos: defenderse de atacantes asistidos por IA, usar la IA para defender más rápido y proteger los agentes que despliegas. La evidencia de 2026 muestra una explotación más rápida, ganancias defensivas medibles y riesgos específicos de los agentes. Empieza por el inventario, pon controles donde actúan los agentes y prueba antes de cada versión.

Protege tus agentes de IA en producción con NeuralTrust

Descubre cómo el AI gateway de NeuralTrust aplica políticas a cada llamada a modelos y herramientas, y pruébalo gratis.

Lecturas relacionadas

• AI Gateway para IA agéntica: seguridad de MCP y A2A
• Autenticación MCP: OAuth 2.1 bien hecho para agentes de IA
• Human-in-the-loop en agentes de IA

1. ¿Qué es la IA en ciberseguridad?

La IA en ciberseguridad es el uso de machine learning y agentes de IA para atacar, defender y proteger sistemas digitales. Los atacantes la usan para encontrar fallos y redactar cebos más rápido. Los defensores la usan para detectar anomalías, priorizar alertas y proponer correcciones. Una tercera área cubre la protección de los agentes y modelos de IA que despliega una organización.

2. ¿Cómo usan la IA los atacantes?

Los atacantes usan la IA para analizar vulnerabilidades, validar código de prueba de concepto, redactar phishing convincente y automatizar partes de las intrusiones. El Google Threat Intelligence Group informó en mayo de 2026 del primer zero-day que cree desarrollado con IA. ENISA indica que la mayoría de los atacantes aún usa herramientas de IA de consumo para ampliar capacidades que ya tenían, no para sustituirlas.

3. ¿Cómo usan la IA los defensores en un SOC?

Los defensores usan la IA para detectar anomalías, resumir y enriquecer alertas, agrupar eventos relacionados y redactar pasos de respuesta. El informe 2026 de IBM halló que el uso extensivo de IA y automatización de seguridad redujo el coste de las brechas en 1,93 millones de $ y acortó su ciclo de vida en 65 días. Los analistas siguen decidiendo la severidad, el escalado y la aprobación de cambios arriesgados.

4. ¿Puede la IA sustituir a los analistas de seguridad?

Ninguna evidencia de 2026 en este artículo respalda sustituir a los analistas. La IA se encarga del volumen, el enriquecimiento y el triaje inicial, y las personas deciden sobre severidad, impacto en el negocio y cambios en sistemas de producción. El borrador del Cyber AI Profile del NIST plantea la defensa con IA como una de tres áreas de trabajo, junto a proteger los sistemas de IA y frenar los ataques con IA.

5. ¿Cuáles son los mayores riesgos de seguridad de los agentes de IA?

El OWASP Top 10 for LLM Applications 2026 sitúa Prompt Injection en primer lugar, Sensitive Information Disclosure en segundo y Excessive Agency en tercero. El OWASP Top 10 for Agentic Applications añade Agent Goal Hijack, Tool Misuse, Identity and Privilege Abuse y Memory and Context Poisoning. Cada riesgo crece cuando los agentes tienen permisos amplios.

6. ¿Qué normas de la UE se aplican a la IA en ciberseguridad?

La AI Act fija obligaciones para los sistemas de IA, y el Reglamento (UE) 2026/1744 movió las de alto riesgo independiente al 2 de diciembre de 2027. NIS2 exige una alerta temprana en 24 horas para incidentes significativos. El Cyber Resilience Act obliga a los fabricantes a reportar vulnerabilidades explotadas activamente desde el 11 de septiembre de 2026. Esto no es asesoramiento jurídico.

7. ¿Cómo empiezo a proteger los agentes de IA?

Empieza por un inventario de agentes, modelos, herramientas y responsables, incluidos los no aprobados. Después aplica política donde los agentes llaman a modelos y herramientas, acota las credenciales por agente y por herramienta, y ejecuta pruebas adversariales antes de cada versión. Añade playbooks de respuesta a incidentes para agentes y alinea los plazos de reporte con NIS2 y el Cyber Resilience Act.

Sobre el autor

Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.

NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, presente en cuatro Gartner Hype Cycle reports de 2026, y destacada en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.

Fuentes

1. Google Threat Intelligence Group, AI Threat Tracker update on vulnerability exploitation, augmented operations and initial access, 11 de mayo de 2026.
2. CrowdStrike, 2026 Threat Hunting Report, 3 de agosto de 2026 (cifras del proveedor).
3. ENISA, informe anual de amenazas 2026, septiembre de 2026 (cubre de enero a diciembre de 2025).
4. IBM, Cost of a Data Breach Report 2026, 30 de julio de 2026 (cifras del proveedor).
5. OWASP GenAI Security Project, OWASP Top 10 for LLM Applications 2026, 3 de agosto de 2026.
6. OWASP GenAI Security Project, OWASP Top 10 for Agentic Applications, 9 de diciembre de 2025.
7. NIST, IR 8596 Cyber AI Profile, borrador preliminar inicial, 16 de diciembre de 2025.
8. Unión Europea, Reglamento (UE) 2026/1744 (Digital Omnibus on AI), 8 de julio de 2026, en vigor desde el 27 de julio de 2026.
9. NCSC Irlanda, EU Cyber Resilience Act: obligaciones de reporte, aplicables desde el 11 de septiembre de 2026.
10. Comisión Europea, preguntas frecuentes sobre la Directiva NIS2, Directiva (UE) 2022/2555.