La inteligencia artificial (Artificial Intelligence, AI) acelera las amenazas cibernéticas industriales con herramientas de ataque automatizadas

El panorama de la ciberseguridad industrial está experimentando una transformación profunda a medida que la inteligencia artificial (Artificial Intelligence, AI) pasa de ser un riesgo teórico a una poderosa fuerza operativa para los actores de amenazas. Análisis recientes de SANS y datos de ecrime.ch revelan que la IA está impulsando un fuerte aumento en la velocidad y la escala de los ataques dirigidos a entornos de Tecnología Operativa (Operational Technology, OT). Aunque el "soldado digital autónomo" sigue siendo en gran medida un mito, la realidad es igualmente preocupante: la IA actúa como un multiplicador de fuerzas, reduciendo las barreras de entrada y comprimiendo el tiempo necesario para el reconocimiento, el phishing y la generación de exploits.

Según un nuevo informe publicado el 1 de febrero de 2026, la integración de herramientas de IA en el arsenal del atacante ha desafiado fundamentalmente los paradigmas tradicionales de defensa. Los profesionales de seguridad ya no se enfrentan solo a la ingeniosidad humana, sino a adversarios humanos potenciados por la automatización a velocidad de máquina. Este cambio es particularmente evidente en el aumento de incidentes de ransomware y en el uso sofisticado de Modelos de Lenguaje a Gran Escala (Large Language Models, LLMs) para eludir protocolos de seguridad establecidos.

El arsenal automatizado: velocidad y escala en los ataques a OT

El papel principal de la IA en el panorama actual de amenazas no es reemplazar a los atacantes humanos, sino acelerar sus flujos de trabajo. El análisis de SANS destaca que los actores de amenazas están aprovechando la IA para automatizar fases laboriosas del ciclo de vida del ataque. Tareas que antes requerían equipos especializados y semanas de desarrollo —como elaborar código exploit funcional o mapear topologías de red— ahora pueden ejecutarse en minutos.

Los expertos advierten que esta aceleración es más peligrosa durante las fases de acceso inicial y reconocimiento. Las herramientas de IA pueden analizar grandes cantidades de inteligencia de fuente abierta (OSINT) para generar campañas de spear-phishing muy dirigidas que imitan el léxico técnico específico de operadores de subestaciones o ingenieros de planta. Además, campañas recientes han demostrado el uso de asistentes de codificación avanzados para automatizar el movimiento lateral y el robo de credenciales una vez que se ha establecido un punto de apoyo.

La siguiente tabla ilustra cómo la integración de la IA está alterando la dinámica de los ciberataques industriales en comparación con los métodos tradicionales:

Comparación de ataques industriales tradicionales vs. acelerados por IA

Estadísticas de ransomware 2025: un año de récord

El impacto tangible de estas capacidades aceleradas se refleja en las contundentes estadísticas de 2025. Los datos de ecrime.ch indican que los actores de ransomware publicaron la asombrosa cifra de 7.819 incidentes en sitios de filtración de datos a lo largo del año. Este aumento representa una escalada significativa en el volumen de ataques, impulsada en parte por las eficiencias obtenidas mediante herramientas automatizadas.

Geográficamente, Estados Unidos soportó la mayor parte de estas campañas, representando cerca de 4.000 de los incidentes reportados. Este objetivo desproporcionado subraya la vulnerabilidad de la infraestructura crítica en naciones industriales altamente digitalizadas. Otras economías occidentales también enfrentaron amenazas considerables, aunque en volúmenes menores en comparación con EE. UU.

Naciones más atacadas en 2025:

• United States: ~4.000 incidents
• Canada: >400 incidents
• Germany: 292 incidents
• United Kingdom: 248 incidents
• Italy: 167 incidents

El panorama de los actores de amenazas sigue dominado por grupos de ransomware establecidos que han logrado adaptar con éxito sus tácticas para incorporar nuevas tecnologías. Al frente de la lista de perpetradores en 2025 se encontraban Qilin, Akira, Cl0p, PLAY, and SAFEPAY. Estos grupos han demostrado resiliencia y adaptabilidad, utilizando la IA no solo para el cifrado, sino para mejorar el proceso de extorsión identificando rápidamente datos de alto valor dentro de redes comprometidas.

Estudios de caso del mundo real: más allá de los riesgos teóricos

El cambio hacia las amenazas impulsadas por IA cuenta con ejemplos validados observados en el entorno real. Paul Lukoskie, Senior Director of Threat Intelligence en Dragos, destacó campañas específicas designadas como GTG-2002 and GTG-1002. En estos incidentes, se evaluó que los atacantes utilizaron Anthropic's Claude Code para automatizar múltiples capas de la intrusión. Esto incluyó reconocimiento, escaneo de vulnerabilidades y la optimización de rutas de ataque, demostrando cómo herramientas de IA disponibles comercialmente están siendo reutilizadas con fines maliciosos.

Fernando Guerrero Bautista, un experto en seguridad OT en Airbus Protect, señaló que la IA está funcionando actualmente como un "multiplicador de fuerza técnica sofisticado". Subrayó que la IA permite a los atacantes revertir la ingeniería de protocolos industriales propietarios con una velocidad sin precedentes. Esta capacidad es particularmente peligrosa en entornos OT, donde la seguridad a menudo se basa en el "security by obscurity" —la suposición de que los atacantes carecen del conocimiento especializado para manipular controladores industriales específicos—. La IA anula efectivamente esta defensa al proporcionar acceso instantáneo a especificaciones técnicas y documentación de protocolos.

El cambio hacia la degradación operativa sutil

Mientras que eventos catastróficos como los apagones acaparan titulares, está surgiendo una tendencia más insidiosa. Steve Mustard, fellow de ISA, advierte que la IA está habilitando ataques centrados en la "degradación operativa sutil y persistente". En lugar de activar alarmas inmediatas con una gran interrupción, estos ataques asistidos por IA apuntan a reducir ligeramente la eficiencia, aumentar el desgaste de la maquinaria o manipular márgenes de calidad.

Estas manipulaciones sutiles están diseñadas para eludir las alarmas tradicionales de los sistemas de control, que están calibradas para detectar desviaciones significativas. Al operar dentro de los márgenes de error, los atacantes pueden causar daños económicos a largo plazo y deterioro de equipos que imitan el envejecimiento normal o problemas de mantenimiento. Este enfoque de "goteo lento" crea confusión, complica la resolución de problemas y socava la confianza en la fiabilidad de la infraestructura crítica.

El dilema de la defensa: por qué Zero Trust no es suficiente

En respuesta a estas amenazas en evolución, muchas organizaciones están recurriendo a arquitecturas Zero Trust. Si bien principios como la microsegmentación y el acceso de privilegio mínimo son vitales, los expertos sostienen que no son suficientes por sí solos para detener a adversarios que se adaptan mediante IA.

El principal desafío reside en la naturaleza de los entornos OT, que a menudo dependen de sistemas heredados y protocolos propietarios (como Modbus) que carecen de soporte integrado para autenticación y cifrado modernos. Implementar políticas estrictas de Zero Trust también puede entrar en conflicto con los requisitos de seguridad y disponibilidad, pudiendo introducir latencia o bloquear comandos críticos durante una emergencia.

Además, los atacantes asistidos por IA están explotando la "brecha de contexto" ("Context Gap") entre los equipos de seguridad IT y los operadores OT. Los analistas de seguridad pueden ver paquetes de datos pero no comprender las implicaciones físicas de un comando específico, mientras que los operadores de planta entienden la física pero pueden no reconocer una anormalidad cibernética enmascarada como una fluctuación del proceso. La IA explota ese vacío, ocultando su actividad en la costura donde termina la seguridad digital y comienza la ingeniería física.

Redefiniendo la resiliencia para la era de la IA

A medida que el panorama de amenazas evoluciona, la definición de resiliencia en los sectores industriales también debe cambiar. El consenso entre los líderes de la industria es que la prevención por sí sola ya no es una estrategia viable. En su lugar, la resiliencia se está redefiniendo como "Degradación gradual (Graceful Degradation)" —la capacidad de mantener funciones esenciales y capacidades de "black start" incluso cuando la capa digital está comprometida.

Este enfoque exige un regreso a los fundamentos de la ingeniería. Parte de suposiciones que el perímetro digital será vulnerado y asegura que los operadores humanos conserven la capacidad de anular manualmente los sistemas "inteligentes" para gestionar de forma segura la red o la planta.

Estrategias clave para preparar la defensa OT ante el futuro:

• Humano en el bucle (Human-on-the-loop): Las estructuras de gobernanza deben permitir que los sistemas de seguridad automatizados entren en estados seguros deterministas sin esperar la autorización humana, mientras los humanos supervisan la recuperación.
• Gobernanza unificada: Establecer derechos de decisión claros entre los equipos de IT y OT antes de que ocurra un incidente es crítico para cerrar la brecha de responsabilidad.
• IA para la defensa: Utilizar la IA para mejorar la comprensión situacional, no solo la detección de amenazas. La IA puede ayudar a los defensores a procesar grandes volúmenes de telemetría para comprender la "física" de un ataque, contrarrestando la ventaja del adversario.

El sector industrial se encuentra en una encrucijada crítica. La integración de la IA en las amenazas cibernéticas ha comprimido la línea temporal de los ataques y ha ampliado la superficie de posibles exploits. Defenderse contra esto requiere no solo nuevas herramientas, sino un cambio fundamental en la mentalidad: pasar de la dependencia de la seguridad perimetral a una estrategia de resiliencia, redundancia manual y aprendizaje continuo asistido por IA.