De los ciberataques a la guerra híbrida (I)
La Inteligencia Artificial o IA es un tema de gran interés y de mucha actualidad, y en particular cómo su uso creciente está afectando a la seguridad de las redes, y a la veracidad de los contenidos que en ellas circulan.
Hace unos días los titulares de algunos medios recogían que millones de páginas webs en todo el mundo, se habían visto afectadas por una alerta en seguridad, al haberse detectado dos vulnerabilidades críticas en el lenguaje de programación más usado para la elaboración y funcionamiento de esas páginas. Los fallos detectados permitían que los ciberdelincuentes pudieran acceder a las páginas sin identificarse, por debilidades en la operativa de la memoria de reconocimiento de los usuarios.
Estas vulnerabilidades fueron detectadas por una empresa especializada utilizando IA.
No es la primera noticia de que la IA es capaz de descubrir fallos o vulnerabilidades que durante meses o años no se habían percibido. El pasado 7 de abril, la empresa Antropic presentó Claude Mythos, un modelo de IA que lee el código o lenguaje en el que están escritos los programas y puede descubrir e identificar los fallos de seguridad o vulnerabilidades que permiten que se pueda acceder sin autorización. Consigue en unas horas lo que a un equipo de hackers especializados le hubiera llevado muchos meses de trabajo, y eso si logra encontrarlo.
La reacción a esta gran revelación fue inmediata. Por una parte, las autoridades, en especial las monetarias como la Reserva Federal y el Banco Central Europeo, convocaron a sus respectivos miembros para comprometerse a reforzar las medidas de protección ante los posibles riesgos de uso de ese tipo de modelo por parte de ciberdelincuentes. Por otra, las grandes compañías tecnológicas llegaron a un acuerdo, pactado con las autoridades, sobre el uso de este tipo de modelos de IA, para evitar que en el caso de comercializarse pudiera ser utilizado por ciberdelincuentes.
Así, en junio, 50 grandes organizaciones (Microsof, Apple, Amazon,… ), firmaron el Proyecto Glasswing por el que se comprometen a utilizar Claude Mythos solo para detectar y corregir fallos pero no para su venta a terceros.
Pero en paralelo, tuvo lugar otro importante incidente. La gran tecnológica competidora de Antropic, OpenAI, estaba entrenando un modelo de IA desarrollado para probar sus capacidades ofensivas, en un marco restringido de prueba fuera de internet, y sin haberlo previsto el programa acabó introduciéndose en los sistemas de una empresa accediendo a internet “por una puerta trasera”. En concreto en una importante plataforma de código abierto. En este caso no se produjeron grandes daños y riesgos, aparte de constatar que la IA cuando se le ha fijado un objetivo busca el camino más corto posible para conseguirlo, con independencia de si debería hacerlo o no.
Ante ello, OpenAI lanzó a su vez la iniciativa Patch the Planet con el mismo objetivo de dedicar el uso de los modelos IA a corregir los fallos pero no venderlos a terceros. La decisión, al igual que la de Antropic tiene un aspecto positivo, de protección ante la ciberdelincuencia, pero también tiene un aspecto de marketing en el liderazgo por quien domina la IA. Se da el caso de que precisamente ha sido una empresa relacionada con OpenAI integrada en esta última iniciativa la que ha detectado las vulnerabilidades en el lenguaje utilizado en las Web al que nos referíamos en el primer párrafo.
En definitiva, en estos últimos meses se ha producido un cambio profundo en lo que supone la capacidad de la IA en detectar vulnerabilidades o fallos, y un paso en el posicionamiento por el liderazgo y control de la IA. Esto se produce junto a la tendencia que se venía dando, de una mayor utilización de esta tecnología para la protección ante posibles ataques. De hecho, según datos de la OCDE, en 2025, se ha producido un aumento de su uso para mejorar la ciberseguridad del orden del 23% frente al año pasado, aunque no de modo homogéneo; un 26.7% de las grandes empresas la usa, un 9.6% de las medianas, y un 3.7% de las pequeñas.
Pero junto a ese mayor uso, hay también un aspecto negativo. Las organizaciones criminales y los delincuentes individuales también utilizan la IA para sus fines, y ello se manifiesta no sólo en ataques más sofisticados a empresas e instituciones, sino en un mayor número de simples estafas utilizando videos o imágenes falsas.
Y junto a todo ello está el tema de la fuerte competencia por el liderazgo en IA entre las grandes tecnológicas, con todas sus implicaciones no solo para las empresas implicadas, sino para los Estados, subrayando el hecho de que la gran mayoría de estas empresas se ubican en Estados Unidos. El efecto sobre la desigualdad que puede provocar la IA es alto.
Es difícil aventurar cómo van a impactar todos estos cambios en el número de ciberataques que se producen y en su magnitud. Por una parte, una mayor capacidad de detectar los fallos o vulnerabilidades de un sistema o de una web, va a permitir mejorar la protección al poder parchear los fallos de seguridad; pero por otra, si esa mayor capacidad de detección cae en manos de organizaciones criminales y ciberdelincuentes, los efectos podrían ser muy negativos.
Y hablamos ya de cifras altas. En su Informe sobre la Cibercriminalidad en España en 2025, el Ministerio del Interior, daba la cifra de 488.426 ciberdelitos denunciados ese año. Teniendo en cuenta que en muchos casos no se presentan denuncias por motivos de imagen, a mi juicio equivocadamente, y que del conjunto de ciberdelitos contabilizados muchos son simples estafas por wasap o internet, se puede estimar que el número de ciberataques en España, esto es, con intrusión en el sistema informático de la víctima, asciende a una cifra entre 300.000 y 318.000 ciberataques al año, unos 847 al día, teniendo unos 26.500 un impacto muy alto.
(Ver: https://www.revistasice.com/index.php/ICE/article/view/7891).
Dentro de esa cifra se incluyen diferentes modalidades: el ransonware o secuestro de la información con petición de pago para recuperarla, que es la más utilizada; el simple robo de datos; el bloqueo o denegación de servicio; el llamado fraude del CEO, suplantando su persona para transferir sumas, etc..
El hecho es que hoy los ciberataques son una realidad que las empresas, las instituciones y los ciudadanos debemos de tener en cuenta. Pero por suerte en España tenemos un nivel de seguridad muy alto comparado con muchos países de nuestro entorno, con un marco normativo e institucional muy completo, y con unas empresas especializadas en prestar servicios muy eficientes. Para los ciudadanos, el Instituto Nacional de Ciberseguridad, INCIBE aporta información, formación y un teléfono de emergencia ante un ataque.
Todo ello nos lleva a una pregunta: ¿que podemos hacer ante la creciente utilización de la IA en el ámbito de la ciberseguridad?.
Según hemos visto, este mayor uso está generando en el mundo grandes cambios, favorables, aunque también puede elevar los riesgos. Ahora bien, dado el buen nivel que tenemos en España, hay un margen de confianza en que en materia de ciberataques los efectos de la IA no tienen por que ser más negativos que positivos, al menos a corto plazo. Eso sí, siempre que las unidades responsables especializadas dentro de la Administración, y las empresas, sigan manteniendo su eficiente trabajo de protección y de información, así como el excelente trabajo de las unidades especializadas de las Fuerzas de Seguridad. Y siempre también que cumpla con la adaptación de la normativa, pues es un poco sorprendente que la importante Directiva NIS2 de la UE, que refuerza la protección en más sectores críticos, y que debía haberse traspuesto a nuestro ordenamiento en octubre de 2024 aún no se haya adoptado.
En cualquier caso, y además cumplir con esa obligación de transposición, se debería reforzar la formación y educación en la materia. No olvidemos que más del 80% de los ciberataques se materializan por un fallo humano haciendo un “click” donde no debía haberlo hecho.
Otra cuestión muy diferente es el impacto que está teniendo la IA en la manipulación de la información que circula en las redes, y en particular en la veracidad de esa información.
Pero eso es materia para ser analizada en un segundo artículo.
