Hitachi Vantara potencia el almacenamiento híbrido en Azure
Un hallazgo de Sophos revela cómo los atacantes están utilizando agentes de inteligencia artificial para acelerar pruebas, optimizar herramientas ofensivas y encontrar vías para evadir soluciones EDR.
La adopción masiva de inteligencia artificial ha provocado que gran parte de la conversación sobre ciberseguridad se centre en un escenario casi cinematográfico: sistemas autónomos capaces de lanzar ataques complejos sin intervención humana.
Sin embargo, la realidad que están observando los equipos de investigación es diferente y, posiblemente, más preocupante. La IA no está sustituyendo a los atacantes. Está convirtiéndolos en equipos más eficientes.
Un reciente análisis de los investigadores de Sophos X-Ops identificó a un actor malicioso que utilizaba tecnologías de inteligencia artificial para acelerar el desarrollo y la validación de técnicas diseñadas específicamente para evadir soluciones de detección y respuesta en endpoints (EDR).
La conclusión es clara: la IA no está tomando decisiones estratégicas por sí sola, pero sí está reduciendo drásticamente el tiempo necesario para desarrollar, probar y perfeccionar herramientas ofensivas.
La nueva ventaja del atacante: la velocidad
La investigación comenzó cuando un endpoint anómalo activó alertas relacionadas con archivos maliciosos almacenados en un directorio de pruebas.
Lo que parecía inicialmente una actividad aislada terminó revelando un laboratorio completo dedicado al desarrollo de técnicas de evasión.
Entre los elementos identificados destacaban:
- Perfiles de Cobalt Strike configurados para que su tráfico imitara solicitudes web legítimas.
- Infraestructura de comando y control basada en bots de Telegram para ocultar comunicaciones maliciosas.
- Scripts en Python destinados a inyectar shellcode en ejecutables legítimos de Windows.
- Servicios de Cloudflare utilizados como capa de ocultación para esconder servidores de comando y control.
Nada de esto es particularmente nuevo en el ecosistema ofensivo. Lo novedoso es cómo se estaba desarrollando y refinando ese conjunto de herramientas.
La IA actuaba como acelerador del proceso.
Del malware artesanal al asistido por IA
Uno de los descubrimientos más relevantes fue la presencia de múltiples scripts parcialmente generados mediante inteligencia artificial.
Los investigadores encontraron un repositorio Git que contenía herramientas destinadas a dos objetivos principales:
- Automatizar el descubrimiento y mapeo de entornos de Active Directory.
- Desarrollar y probar técnicas de evasión frente a distintas plataformas EDR.
Sin embargo, el hallazgo desmonta uno de los mitos más repetidos sobre la IA ofensiva. No existía un modelo autónomo tomando decisiones complejas o diseñando campañas de ataque completas.
El sistema seguía una lógica basada en flujos de trabajo predefinidos: recopilaba resultados, evaluaba el éxito de cada acción y seleccionaba la siguiente prueba dentro de un conjunto previamente establecido.
En otras palabras, la inteligencia seguía siendo humana. La velocidad era artificial.
Un entorno de desarrollo propio de una empresa tecnológica
Quizá el aspecto más llamativo del caso es que la infraestructura detectada se asemeja más a un laboratorio de desarrollo de software que a la imagen tradicional de un grupo de ciberdelincuentes.
El atacante utilizaba:
- Máquinas virtuales dedicadas para pruebas.
- Repositorios Git para gestión de versiones.
- Automatización de despliegues.
- Entornos de validación controlados.
- Agentes de IA especializados en tareas concretas.
Entre las herramientas identificadas aparecía Cursor, un entorno de desarrollo impulsado por inteligencia artificial que ayudaba a generar y optimizar código.
Asimismo, se detectó una arquitectura de agentes con funciones distribuidas:
- Un agente principal basado en Claude Opus 4.5 coordinaba el flujo de trabajo.
- Otro realizaba pruebas contra diferentes soluciones EDR.
- Otros agentes apoyaban tareas de documentación, despliegue de máquinas virtuales, validación de proxies y fortalecimiento de medidas de seguridad operativa (OPSEC).
La coordinación se realizaba mediante el protocolo MCP (Model Context Protocol), un estándar abierto que permite conectar asistentes de IA con herramientas externas y fuentes de datos.
La imagen que emerge es significativa: los atacantes están empezando a operar con metodologías similares a las de los equipos de desarrollo modernos.
Democratización de las capacidades avanzadas
Durante años, construir un entorno de pruebas capaz de evaluar técnicas avanzadas de evasión requería conocimientos especializados, tiempo y recursos. La IA está reduciendo esa barrera de entrada.
Tareas que antes exigían horas de programación, documentación o depuración pueden completarse ahora en minutos.
Esto significa que capacidades tradicionalmente reservadas para actores altamente sofisticados podrían extenderse progresivamente a grupos con menos experiencia técnica.
La consecuencia para los responsables de seguridad es evidente.
El volumen de pruebas ofensivas, variantes de malware y experimentación aumentará significativamente porque el coste operativo para los atacantes se está reduciendo.
La defensa sigue siendo sorprendentemente tradicional
A pesar del protagonismo de la IA en este caso, las recomendaciones de los investigadores de Sophos no apuntan a tecnologías revolucionarias.
La razón es sencilla.
El atacante puede acelerar su capacidad de experimentación, pero sigue necesitando explotar vulnerabilidades, comprometer credenciales o encontrar brechas operativas.
Por ello, los fundamentos siguen siendo determinantes:
- Aplicación oportuna de parches.
- Autenticación multifactor (MFA).
- Uso de passkeys cuando sea posible.
- Estrategias de defensa en profundidad.
- Monitorización continua.
- Soluciones EDR eficaces y correctamente configuradas.
La IA puede ayudar a encontrar debilidades más rápido.
Pero sigue dependiendo de que esas debilidades existan.
La próxima batalla será por el tiempo de respuesta
La verdadera enseñanza de este caso no es que la IA haya creado una nueva generación de malware autónomo. Lo relevante es que está comprimiendo los ciclos de innovación ofensiva.
Los atacantes pueden iterar más rápido, probar más variantes y validar más hipótesis en menos tiempo.
Para los CIOs y líderes de ciberseguridad, esto introduce una nueva presión: la capacidad de respuesta deberá evolucionar al mismo ritmo que la capacidad de experimentación de los atacantes.
