IA contra IA: la nueva asimetría en ciberseguridad
La IA ya está integrada en el ataque
El Informe Global de Amenazas 2026 de
CrowdStrike (CrowdStrike Global Threat Report 2026) muestra que la Inteligencia
Artificial ya no es experimental dentro del ecosistema criminal. Es parte
estructural de la cadena de ataque.
En la
figura “AI threats across the kill chain (2024 vs. 2025)”
se observa cómo la IA
interviene en múltiples fases:
- Desarrollo de recursos (identidades y
perfiles generados con GenAI).
- Ejecución de scripts automatizados.
- Evasión de defensas.
- Descubrimiento y recolección de
información.
Los incrementos son
significativos:
- +109% en desarrollo de recursos.
- +134% en ejecución.
- +88% en evasión.
- +16% en recolección.
Esto no es un
experimento aislado.
Es un cambio de modelo operativo.
La asimetría real no es técnica, es de velocidad
Según el informe, el tiempo promedio de expansión (breakout time) se redujo a 29 minutos en 2025, lo que representa una aceleración significativa respecto al año anterior. CrowdStrike advierte que la ventana para detectar, decidir y responder se ha estrechado drásticamente, con casos donde la exfiltración comenzó pocos minutos después del acceso inicial.
El breakout time es el tiempo que transcurre desde el acceso inicial hasta que el atacante comienza a moverse lateralmente o alcanzar activos críticos.
No es el tiempo total
del incidente.
Es el punto en el que el impacto empieza a escalar.
Ahora bien, muchos
entornos de seguridad tradicionales operan bajo modelos diseñados para tiempos
humanos:
- Monitoreo por turnos.
- Escalamiento manual.
- Revisión y priorización mediante sistemas
de tickets.
- Decisiones dependientes de análisis humano
secuencial.
En algunos modelos
SOC, los procesos formales de actuación se activan alrededor de los 30 minutos
para incidentes críticos. Pero esos tiempos están pensados para equipos que
trabajan por turnos, con capacidad cognitiva limitada por la atención, la carga
operativa y la fatiga natural.
Aquí aparece la
asimetría.
Si el atacante
comienza su movimiento lateral en 29 minutos, la defensa humana empieza a
actuar cuando el incidente ya está evolucionando.
No es un problema de
talento.
No es un problema de esfuerzo.
Es un problema de diseño del modelo operativo.
El adversario no
duerme.
No rota turnos.
No se cansa.
No necesita validar un ticket.
Opera a velocidad máquina.
82% de detecciones sin malware: el ataque se parece cada vez más a actividad legítima
El Informe Global de Amenazas 2026 de
CrowdStrike muestra que en 2025, el 82% de las detecciones fueron
sin uso de malware
Esto significa que los
atacantes operaron utilizando credenciales válidas, flujos de identidad
confiables y herramientas legítimas, moviéndose a través de sistemas
autorizados y mezclándose con la actividad normal.
La evasión ya no
depende exclusivamente de código malicioso.
Depende de confianza explotada.
La IA acelera este
tipo de operaciones:
- Mejora la ingeniería social.
- Optimiza scripts.
- Traduce campañas automáticamente.
- Automatiza reconocimiento.
- Reduce el margen de error del atacante.
El adversario ya opera
dentro de la normalidad aparente.
Si la defensa depende
exclusivamente de revisión manual, escalamiento por ticket y análisis
posterior, la asimetría se amplía.
El verdadero desafío no es el SOC, es la arquitectura
Muchos debates sobre
ciberseguridad se centran en mejorar procesos o aumentar personal.
Pero el dato del
breakout time apunta a algo más profundo:
el modelo tradicional de defensa está estructurado alrededor de tiempos
humanos.
Cuando la ofensiva
está automatizada y acelerada por IA, la defensa no puede depender
exclusivamente de intervención humana secuencial.
Aquí es donde la
gobernanza cambia de nivel.
No se trata solo de
tener un SOC.
Se trata de incorporar:
- Detección asistida por IA.
- Correlación automática de eventos.
- Análisis continuo de comportamiento.
- Playbooks de contención inicial
automatizados.
- Orquestación inteligente antes de la
intervención humana.
La IA defensiva no
reemplaza al analista.
Reduce la brecha entre señal y decisión.
De humano vs máquina a sistema vs sistema
Reflexión final
El reporte de
CrowdStrike no describe un escenario futurista.
Describe el presente.
La pregunta ya no es si la IA será usada en el ataque.
Eso ya está ocurriendo.
La pregunta es:
¿Estamos integrando la IA con el mismo nivel de decisión en la defensa y en la gobernanza corporativa?
Porque defender IA con procesos exclusivamente humanos no es estrategia.
Es una falsa sensación de control.
Y en un entorno donde el adversario opera a velocidad máquina,
la gobernanza debe evolucionar al mismo ritmo.
No hay comentarios:
Publicar un comentario