Blog

Un vehículo autónomo confunde una señal de alto con una de límite de velocidad a ochenta kilómetros por hora. Un filtro de seguridad de correo electrónico comienza a dejar pasar campañas masivas de estafas financieras sin activar ninguna alerta. Un modelo de diagnóstico médico pasa por alto anomalías críticas en radiografías pulmonares. En ninguno de estos escenarios los atacantes rompieron el cifrado de los servidores, adivinaron contraseñas de administradores ni explotaron una vulnerabilidad de día cero en el software. Lo que hicieron fue algo mucho más sutil y difícil de detectar: alteraron la forma en que las máquinas aprenden.

El envenenamiento de datos (data poisoning) se ha consolidado como uno de los vectores de ataque más sofisticados y desestabilizadores en el ámbito de la inteligencia artificial. A diferencia de las intrusiones cibernéticas tradicionales, que buscan robar información o secuestrar sistemas mediante ransomware, este método manipula directamente el proceso de aprendizaje de los modelos de aprendizaje automático (machine learning). El objetivo no es romper el sistema, sino corromper su lógica interna para que tome decisiones erróneas o sesgadas de manera predecible.

La confianza ciega en los resultados que arroja la inteligencia artificial ha convertido a esta técnica en una prioridad crítica para los equipos de seguridad defensiva. A medida que las organizaciones delegan decisiones financieras, operativas y de seguridad en modelos automatizados, la integridad de los datos de entrenamiento pasa de ser un problema puramente estadístico a convertirse en una vulnerabilidad de seguridad nacional y corporativa de primer orden.

El proceso de aprendizaje y el origen de la toxina

Para comprender cómo funciona este ataque, es necesario examinar la base del desarrollo de cualquier inteligencia artificial. Un modelo de aprendizaje automático no es más que un sistema matemático diseñado para identificar patrones complejos. Para lograrlo, requiere una fase de entrenamiento donde procesa millones de ejemplos etiquetados: si se le muestran suficientes imágenes de gatos etiquetadas correctamente como «gato», el sistema aprenderá a reconocer los rasgos comunes que definen a este felino.

El envenenamiento de datos interfiere precisamente en esta etapa. Si un atacante logra infiltrar datos modificados o incorrectamente etiquetados dentro del conjunto de entrenamiento, el modelo asimilará estas anomalías como verdades absolutas.

Este método de explotación se clasifica principalmente en dos categorías tácticas:

• Envenenamiento por disponibilidad (o degradación del modelo): El atacante introduce «ruido» o datos contradictorios de manera masiva con el objetivo de que el modelo pierda precisión general. El sistema se vuelve inútil porque sus predicciones se vuelven erráticas, lo que obliga a la organización a suspender el servicio.
• Envenenamiento dirigido (o ataques de puerta trasera / backdoors): Es la variante más peligrosa. El atacante introduce un patrón específico y sutil en un grupo reducido de datos de entrenamiento (por ejemplo, un pequeño píxel amarillo en la esquina de ciertas imágenes) asociado a una etiqueta errónea. El modelo funcionará con un 99% de precisión en condiciones normales, pero cuando el atacante presente una entrada que contenga ese «disparador» o píxel amarillo, el modelo ejecutará la acción incorrecta diseñada por el atacante.

Por qué la recolección masiva de datos facilita el ataque

Durante años, la consigna en el desarrollo de la inteligencia artificial ha sido «más es mejor». Los modelos de lenguaje modernos y los generadores de imágenes se entrenan con conjuntos de datos colosales extraídos directamente de internet, que contienen miles de millones de páginas web, foros, repositorios de código y redes sociales.

Esta necesidad de volumen ha creado un problema de control de calidad imposible de gestionar de forma manual. Los desarrolladores no pueden verificar de manera exhaustiva cada gigabyte de información que ingresa a sus tuberías de entrenamiento. Los atacantes aprovechan este vacío para realizar campañas de envenenamiento web, adquiriendo dominios web antiguos, editando de manera coordinada plataformas colaborativas o publicando documentación técnica falsa que saben que será absorbida por los rastreadores web (scrapers) de las empresas de tecnología.

El problema se agrava con el auge del aprendizaje continuo (online learning), donde los sistemas se actualizan constantemente utilizando el comportamiento directo de sus usuarios en tiempo real. Si un grupo coordinado de usuarios comienza a interactuar con un recomendador de compras o un bot de atención al cliente utilizando patrones específicos de forma repetida, pueden sesgar y corromper la lógica del algoritmo en cuestión de días.

Casos documentados y el impacto en la toma de decisiones

Aunque el envenenamiento de datos comenzó como un área de investigación puramente académica, la transición de estos ataques al mundo real ya es una realidad. Uno de los incidentes más citados para ilustrar el peligro del aprendizaje continuo ocurrió con el chatbot experimental de Microsoft, Tay, que en menos de 24 horas tuvo que ser desconectado tras ser coordinadamente envenenado por usuarios que lo entrenaron mediante interacciones públicas para asimilar discursos de odio y teorías conspirativas.

En el ámbito de la ciberseguridad, los atacantes aplican estas técnicas para evadir sistemas de detección de intrusiones basados en anomalías. Al enviar ráfagas constantes de tráfico ligeramente malicioso mezclado con tráfico legítimo, acostumbran al algoritmo defensivo a aceptar patrones peligrosos como normales. Con el tiempo, el sistema de seguridad eleva el umbral de lo que considera una amenaza, permitiendo al atacante ejecutar el ataque real sin levantar sospechas.

Otro escenario crítico estudiado por centros de investigación militar y tecnológica es el envenenamiento de filtros de moderación de contenido y sistemas de reconocimiento facial. Modificar ligeramente las imágenes de entrenamiento mediante alteraciones imperceptibles para el ojo humano (conocidas como perturbaciones adversarias) permite a personas u objetos evadir la vigilancia automatizada por completo.

El coste corporativo y la pérdida de reputación

El impacto financiero de un ataque de envenenamiento de datos difiere del de un ataque de malware convencional. No hay un rescate inmediato que pagar, pero las consecuencias a medio y largo plazo pueden ser devastadoras para una empresa:

• Pérdida de propiedad intelectual y recursos: Entrenar un modelo de inteligencia artificial de gran escala puede costar millones de dólares en poder de cómputo y meses de trabajo de ingenieros especializados. Si el modelo es envenenado con éxito, todo ese capital invertido se pierde, ya que a menudo es imposible determinar qué datos específicos causaron el comportamiento anómalo, obligando a desechar el modelo por completo.
• Responsabilidad civil y legal: Si un algoritmo de evaluación crediticia envenenado comienza a rechazar solicitudes de manera discriminatoria, o si un sistema de diagnóstico de salud comete errores graves debido a datos de entrenamiento manipulados, la organización se enfrenta a demandas multimillonarias y sanciones por parte de los organismos reguladores.
• Quiebra de la confianza del cliente: La confianza en los sistemas automatizados es extremadamente frágil. Una vez que se hace público que las decisiones de una empresa están siendo manipuladas mediante datos corruptos, recuperar la credibilidad del mercado requiere un esfuerzo reputacional gigantesco.

Estrategias de defensa en la era del aprendizaje comprometido

Proteger los sistemas de inteligencia artificial contra el envenenamiento requiere una estrategia de defensa en profundidad que abarque todo el ciclo de vida del dato. Ya no basta con asegurar el perímetro de la red corporativa; es obligatorio auditar la procedencia de la información.

1. Auditoría de datos de origen (Data Lineage): Las organizaciones deben implementar un control estricto sobre el origen de sus conjuntos de datos de entrenamiento. Esto implica verificar la reputación de los proveedores de datos externos, firmar digitalmente los conjuntos de datos internos para evitar su manipulación y documentar detalladamente cada proceso de transformación de los datos.
2. Saneamiento de datos (Data Sanitization) y detección de anomalías: Antes de ingresar cualquier información al motor de entrenamiento, es vital aplicar algoritmos de filtrado estadístico diseñados para identificar valores atípicos (outliers). Los métodos defensivos actuales utilizan técnicas de clustering para agrupar datos sospechosos que se desvían de los patrones lógicos conocidos.
3. Entrenamiento robusto y regularización: El uso de técnicas de entrenamiento adversario —donde el modelo es expuesto intencionalmente a datos modificados durante su desarrollo para que aprenda a ignorar el ruido— ayuda a crear redes neuronales mucho más resistentes a manipulaciones futuras.
4. Pruebas de regresión continuas: Al igual que el software tradicional se somete a pruebas de seguridad de manera constante, los modelos de inteligencia artificial deben ser evaluados periódicamente frente a un conjunto de datos de control cerrado («dorado») que nunca cambia. Si el rendimiento del modelo en este conjunto de control cae repentinamente tras una actualización, es un indicador claro de posible contaminación.

El desafío de la gobernanza algorítmica

La carrera armamentística entre quienes desarrollan la inteligencia artificial y quienes buscan manipularla está redefiniendo el concepto de seguridad de la información. La protección de los datos ya no consiste únicamente en evitar que sean robados o filtrados, sino en garantizar que permanezcan puros y fieles a la realidad que intentan describir.

A medida que los marcos regulatorios internacionales comienzan a exigir auditorías de algoritmos y certificaciones de robustez para los sistemas de inteligencia artificial de alto riesgo, las organizaciones se verán obligadas a tratar sus tuberías de datos de entrenamiento con el mismo rigor y recelo con el que protegen su código fuente más confidencial. En un mundo donde las decisiones críticas se delegan a las máquinas, quien controle el aprendizaje de la máquina controlará, en última instancia, el rumbo de las decisiones humanas.

Detrás de la interfaz de cualquier aplicación moderna opera un engranaje invisible de conexiones automáticas. Cuando un usuario realiza una compra en línea, consulta el clima en su teléfono o automatiza un flujo de trabajo entre su correo y su gestor de tareas, decenas de credenciales digitales se intercambian en milisegundos. No pertenecen a personas. Son las identidades no humanas (NHI, por sus siglas en inglés): cuentas de servicio, claves de API, tokens de acceso, contenedores, bots y, de manera cada vez más frecuente, agentes de inteligencia artificial.

Estas credenciales operan en las sombras de la infraestructura tecnológica global. Históricamente, los departamentos de ciberseguridad han concentrado sus esfuerzos en proteger la identidad de los empleados mediante herramientas de autenticación multifactor (MFA) y gestores de contraseñas. Sin embargo, el verdadero volumen de accesos a los sistemas corporativos ya no proviene de los humanos. Informes recientes de firmas de seguridad como CyberArk y Astrix Security estiman que las identidades no humanas superan a las humanas en una proporción de al menos 45 a 1 en las redes corporativas medianas y grandes.

Este crecimiento exponencial ha creado una superficie de ataque masiva y desatendida. A diferencia de un empleado, una clave de API no se cansa, no olvida su contraseña y, lamentablemente, rara vez cambia de credenciales de forma automática. El ecosistema digital actual se sostiene sobre una red de accesos automatizados que, de verse comprometida, otorga a los atacantes las llaves del reino sin necesidad de descifrar una sola contraseña humana.

¿Qué es una identidad no humana y por qué sostiene el software moderno?

Para entender el alcance del problema, es necesario desglosar qué compone este universo de identidades. Una identidad no humana es cualquier credencial digital que permite a un software, máquina o servicio interactuar con otro de forma autónoma, sin intervención de una persona en el momento de la ejecución.

Estas identidades se dividen en varias categorías críticas:

• Claves de API (Application Programming Interfaces): Códigos que permiten a dos aplicaciones comunicarse entre sí. Si un sistema de facturación necesita extraer datos de un CRM, utiliza una clave de API para autenticarse.
• Tokens de OAuth: Credenciales de acceso temporal que permiten a una aplicación realizar acciones en nombre de un usuario sin conocer su contraseña real.
• Cuentas de servicio: Perfiles creados dentro de sistemas operativos o plataformas en la nube (como AWS, Azure o Google Cloud) para ejecutar procesos automáticos de fondo.
• Secretos de CI/CD (Integración y Despliegue Continuos): Credenciales utilizadas por los desarrolladores en sus flujos de trabajo automatizados para subir código y desplegar software a producción.

La proliferación de estas identidades responde a la migración masiva hacia la nube y a las arquitecturas de microservicios. En lugar de tener una única aplicación monolítica, las organizaciones ahora construyen sistemas compuestos por cientos de pequeños servicios independientes que necesitan autenticarse entre sí constantemente para funcionar.

El punto ciego de la seguridad corporativa

El gran peligro de las identidades no humanas radica en su gestión, o la falta de ella. Las herramientas tradicionales de gestión de accesos (IAM) fueron diseñadas para personas. Tienen flujos de trabajo basados en la contratación de personal, cambios de departamento y bajas laborales. Cuando un empleado deja una empresa, su cuenta se desactiva de inmediato.

Con las NHI, este ciclo de vida no existe. Una clave de API generada por un desarrollador para una prueba rápida hace tres años puede seguir activa y con permisos de administrador en la base de datos principal, simplemente porque nadie recuerda que existe o quién la creó. A este fenómeno se le conoce como «acumulación de secretos» (secrets sprawl).

Además, las identidades no humanas carecen de mecanismos de seguridad que hoy consideramos básicos para los humanos. Un token de acceso no puede resolver un desafío de autenticación multifactor (MFA), ni rellenar un captcha, ni alertar si se está conectando repentinamente desde una dirección IP inusual en otro continente si no se configuran reglas específicas extremadamente complejas. Son credenciales estáticas que, una vez obtenidas, otorgan acceso directo.

De la teoría al incidente: cómo explotan los atacantes las NHI

Los atacantes informáticos han identificado este vector como la vía de menor resistencia. En lugar de intentar engañar a un director financiero con una campaña sofisticada de phishing para saltarse el MFA, resulta mucho más sencillo buscar claves de API expuestas en repositorios de código públicos como GitHub o adivinar las credenciales de una cuenta de servicio mal configurada.

El historial de incidentes recientes demuestra que esta no es una amenaza teórica. En varios de los hackeos más notorios de los últimos años a grandes tecnológicas, empresas de telecomunicaciones y plataformas de software como servicio (SaaS), el punto de entrada no fue un correo electrónico malicioso. Fue un token de OAuth comprometido de una aplicación de terceros integrada en el entorno de la víctima, o una clave de API de desarrollo que se dejó por descuido en un servidor expuesto a internet.

Una vez que un atacante obtiene una de estas credenciales, puede moverse lateralmente por la red corporativa. Dado que muchas cuentas de servicio tienen permisos excesivos (privilegios de administrador por defecto para evitar «problemas de compatibilidad» durante el desarrollo), el intruso puede acceder a bases de datos de clientes, alterar el código fuente de los productos o cifrar los sistemas para exigir un rescate.

La llegada de los agentes de IA: gasolina para el fuego

Si la proliferación de microservicios ya complicaba el panorama, la integración masiva de agentes de inteligencia artificial promete llevar el desafío a un nivel sin precedentes. Los agentes de IA no son simples chatbots pasivos; son programas diseñados para tomar decisiones y ejecutar acciones en nombre del usuario.

Para ser útil, un agente de IA necesita conectarse al correo electrónico corporativo, al calendario, a las herramientas de mensajería interna como Slack y a las bases de datos de la empresa. Para lograrlo, requiere un volumen masivo de tokens de acceso de alta prioridad.

Esto introduce un nuevo tipo de vulnerabilidad: la inyección de instrucciones (prompt injection). Si un atacante logra enviar un correo electrónico con instrucciones maliciosas ocultas a un usuario, y el agente de IA lee ese correo, el agente podría ser manipulado para usar sus credenciales no humanas y enviar datos confidenciales de la empresa a un servidor externo, todo de manera automatizada y legítima ante los ojos de los sistemas de monitoreo tradicionales.

Cómo tomar el control: buenas prácticas y mitigación

Abordar la seguridad de las identidades no humanas requiere un cambio de paradigma en los departamentos de tecnología. No se puede proteger lo que no se sabe que existe. Por ello, la estrategia debe estructurarse en cuatro pilares fundamentales:

1. Descubrimiento y visibilidad: El primer paso es realizar un inventario exhaustivo. Las organizaciones deben emplear herramientas automatizadas capaces de escanear la red, los entornos de nube y los repositorios de código para identificar todas las claves, tokens y cuentas de servicio activas, asociándolas a un propietario o responsable dentro de la empresa.
2. Principio de mínimo privilegio: Es común otorgar permisos totales a las identidades no humanas para evitar que los procesos fallen. Esto debe erradicarse. Cada clave de API y cuenta de servicio debe poseer únicamente los permisos estrictamente necesarios para cumplir su función y limitar su acceso a rangos de IP específicos de la organización.
3. Rotación automática de secretos: Al igual que se exige a los usuarios cambiar sus contraseñas periódicamente, las credenciales no humanas deben rotar de forma automatizada mediante gestores de secretos corporativos. Esto reduce drásticamente la ventana de oportunidad para un atacante si una clave llega a filtrarse.
4. Monitoreo del comportamiento: El tráfico de las NHI debe vigilarse de forma continua. Si una cuenta de servicio diseñada para realizar copias de seguridad de madrugada comienza repentinamente a descargar grandes volúmenes de datos a las tres de la tarde desde un servidor no autorizado, los sistemas de seguridad deben ser capaces de bloquear la credencial al instante.

El camino hacia la gobernanza automatizada

La escala del problema hace inviable que los humanos gestionen manualmente las identidades no humanas. La única respuesta efectiva ante la automatización es más automatización. El mercado de la ciberseguridad está respondiendo con el nacimiento de soluciones de Gestión de Seguridad de Identidades No Humanas (NHIM), plataformas dedicadas exclusivamente a mapear la compleja red de conexiones entre aplicaciones, evaluar sus riesgos en tiempo real y revocar accesos huérfanos o sospechosos sin alterar la operatividad del negocio.

A medida que las organizaciones continúan digitalizando sus procesos, la confianza ya no puede medirse bajo parámetros humanos. Asegurar las conexiones invisibles entre las máquinas no es un proyecto técnico secundario; es la base indispensable para garantizar la integridad de la infraestructura tecnológica del futuro.

Durante años, las estrategias de ciberseguridad se concentraron en proteger servidores, redes corporativas, dispositivos y centros de datos. Sin embargo, la forma de trabajar cambió de manera radical. Hoy, una gran parte de las actividades empresariales ocurre dentro de una sola aplicación: el navegador web.

Desde allí se accede al correo electrónico, plataformas de colaboración, aplicaciones financieras, servicios en la nube, sistemas de recursos humanos, herramientas de inteligencia artificial y cientos de aplicaciones SaaS que almacenan información crítica. Lo que antes era una simple puerta de acceso a internet se ha convertido en el principal punto de interacción entre los usuarios y los activos digitales de una organización.

Esta transformación también modificó la estrategia de los ciberdelincuentes. En lugar de intentar vulnerar directamente la infraestructura de una empresa, muchos ataques se centran ahora en comprometer el navegador del usuario para obtener cookies, tokens de autenticación, credenciales o sesiones activas que permiten acceder a múltiples servicios sin necesidad de conocer una contraseña.

El resultado es un cambio de paradigma que está impulsando un nuevo enfoque conocido como Browser Security, una disciplina que busca proteger el navegador como uno de los componentes más críticos de la seguridad empresarial.

---

El navegador dejó de ser una herramienta y pasó a ser un entorno de trabajo

Hace apenas unos años, la mayoría de las aplicaciones corporativas se instalaban de forma local en los equipos. Hoy, la realidad es muy diferente. Servicios como Microsoft 365, Google Workspace, Salesforce, ServiceNow, GitHub, AWS, Azure y cientos de plataformas empresariales funcionan principalmente desde un navegador.

Esto significa que una sola sesión abierta puede dar acceso a información financiera, documentos confidenciales, aplicaciones internas, repositorios de código y sistemas críticos de una organización.

Desde la perspectiva de un atacante, comprometer ese navegador puede resultar mucho más rentable que intentar vulnerar directamente la infraestructura corporativa.

No se trata únicamente de robar una contraseña. El verdadero objetivo es apropiarse de la identidad digital del usuario mientras la sesión permanece activa.

---

¿Por qué los navegadores se han convertido en un objetivo prioritario?

La respuesta es sencilla: concentran prácticamente toda la actividad digital.

Cuando un usuario inicia sesión en un servicio web, el navegador almacena diversos elementos que permiten mantener la autenticación sin solicitar continuamente las credenciales.

Entre ellos se encuentran:

• Cookies de sesión.
• Tokens de autenticación.
• Credenciales almacenadas.
• Historial de navegación.
• Datos de autocompletado.
• Certificados digitales.
• Información sincronizada entre dispositivos.

Cada uno de estos componentes representa una oportunidad para los ciberdelincuentes.

Si logran obtenerlos, en muchos casos pueden acceder directamente a las aplicaciones como si fueran el usuario legítimo, incluso cuando existe autenticación multifactor.

---

El valor oculto de las cookies y los tokens

Uno de los cambios más importantes observados durante los últimos años es el creciente interés de los atacantes por robar cookies y tokens de sesión.

Cuando un usuario supera el proceso de autenticación, el servidor entrega un identificador que demuestra que ya inició sesión correctamente.

Mientras ese identificador siga siendo válido, el usuario no necesita volver a escribir su contraseña.

Precisamente ahí aparece el problema.

Si un malware consigue copiar esas cookies o tokens antes de que expiren, un atacante puede reutilizarlos para acceder a la cuenta desde otro equipo, evitando en muchos casos repetir el proceso de autenticación.

Diversas investigaciones de Microsoft, Google y Mandiant han documentado campañas en las que infostealers y otros programas maliciosos buscan específicamente este tipo de información para comercializarla posteriormente en mercados clandestinos.

---

Los infostealers impulsan una nueva generación de ataques

Malware como Lumma Stealer, RedLine, StealC, Vidar o Rhadamanthys ha evolucionado con un objetivo muy claro: recopilar toda la información posible del navegador.

Estos programas buscan:

• Cookies.
• Tokens.
• Contraseñas guardadas.
• Carteras de criptomonedas.
• Datos de extensiones.
• Historial.
• Información almacenada por aplicaciones web.

Una vez obtenidos, los datos suelen enviarse a servidores controlados por los delincuentes o venderse en foros clandestinos especializados.

En muchos casos, el comprador ni siquiera necesita desarrollar un ataque sofisticado. Basta con importar las cookies robadas para intentar reutilizar una sesión activa y acceder a servicios corporativos.

Este modelo de negocio ha convertido el robo de sesiones en una actividad altamente rentable dentro del ecosistema del cibercrimen.

---

El riesgo va más allá de las contraseñas

Durante años, las campañas de concienciación insistieron en crear contraseñas robustas y activar la autenticación multifactor.

Aunque ambas medidas siguen siendo fundamentales, ya no son suficientes por sí solas.

Muchos ataques actuales no intentan descubrir la contraseña.

Simplemente esperan a que el usuario ya haya iniciado sesión para capturar la información que mantiene abierta esa sesión.

En otras palabras, el atacante aprovecha una identidad que ya fue validada por los mecanismos de seguridad.

Por esa razón, el robo de sesiones se ha convertido en una de las amenazas más complejas para los equipos de ciberseguridad.

---

Las extensiones también forman parte del problema

El navegador moderno permite instalar extensiones que amplían sus funciones.

Algunas mejoran la productividad.

Otras facilitan la traducción, la gestión de contraseñas o la automatización de tareas.

Sin embargo, también representan un nuevo vector de ataque.

Existen extensiones maliciosas capaces de capturar información del usuario, modificar el contenido de páginas web, registrar pulsaciones del teclado o interceptar datos enviados a determinados sitios.

Incluso extensiones legítimas pueden convertirse en un problema si un desarrollador comprometido publica una actualización maliciosa o si un atacante consigue tomar el control del proyecto.

Por ello, organismos especializados recomiendan revisar periódicamente las extensiones instaladas y limitar aquellas que solicitan permisos excesivos.

---

Browser Security: una nueva estrategia de protección

La creciente dependencia del navegador ha dado origen a una nueva categoría de soluciones conocida como Enterprise Browser Security.

Su objetivo no consiste únicamente en bloquear páginas maliciosas.

También buscan proteger la identidad digital del usuario mientras navega.

Estas plataformas permiten supervisar el comportamiento del navegador, detectar extensiones peligrosas, impedir la copia de información sensible, aplicar políticas de acceso según el contexto y reducir el riesgo asociado al robo de sesiones.

Fabricantes como Google, Microsoft, Island, Palo Alto Networks, Cisco, Menlo Security y otros proveedores especializados han incorporado funcionalidades específicas orientadas a proteger este nuevo perímetro.

---

El impacto para las empresas

Una sesión comprometida puede tener consecuencias mucho más graves de lo que parece.

Un atacante que consiga acceder al navegador de un empleado puede desplazarse entre diferentes aplicaciones empresariales aprovechando las sesiones ya abiertas.

Dependiendo del nivel de privilegios del usuario afectado, el impacto puede incluir:

• Acceso a información confidencial.
• Robo de propiedad intelectual.
• Fraude financiero.
• Exfiltración de datos.
• Compromiso de cuentas administrativas.
• Movimiento lateral hacia otros sistemas.

Lo más preocupante es que muchas de estas acciones pueden realizarse utilizando credenciales legítimas, dificultando enormemente su detección.

---

Qué pueden hacer los usuarios para reducir el riesgo

Aunque buena parte de la protección depende de las organizaciones, los usuarios también desempeñan un papel importante.

Mantener el navegador actualizado, instalar únicamente extensiones de confianza, evitar guardar contraseñas cuando no sea necesario, revisar periódicamente los permisos concedidos y cerrar sesiones en equipos compartidos son prácticas que reducen considerablemente la superficie de ataque.

También resulta recomendable utilizar gestores de contraseñas independientes, activar la autenticación multifactor y desconfiar de enlaces o archivos recibidos por correo electrónico o mensajería, ya que muchas infecciones comienzan mediante campañas de phishing diseñadas para instalar malware especializado en el robo de información.

---

El futuro de la seguridad comienza en el navegador

La adopción masiva de aplicaciones en la nube, el trabajo híbrido y el crecimiento de la inteligencia artificial están transformando el navegador en el principal punto de acceso a la información corporativa.

Todo indica que esta tendencia continuará durante los próximos años.

Los fabricantes ya trabajan en mecanismos para aislar procesos, proteger sesiones, reforzar el manejo de credenciales y detectar comportamientos sospechosos en tiempo real. Al mismo tiempo, los equipos de seguridad están incorporando el navegador dentro de sus estrategias de Zero Trust, entendiendo que la confianza ya no puede basarse únicamente en la red desde la que se conecta un usuario.

Para las organizaciones, el desafío consiste en asumir que proteger servidores y dispositivos ya no basta. El navegador se ha convertido en el lugar donde convergen identidades, aplicaciones y datos críticos. Quien logre proteger ese punto de acceso estará un paso adelante frente a una amenaza que evoluciona al mismo ritmo que la forma de trabajar.

El grupo GreyVibe, vinculado a Rusia, aprovecha la IA de ChatGPT y Gemini para diseñar ciberataques contra objetivos estratégicos. Los investigadores detectaron la actividad a comienzos de 2026, aunque los análisis apuntan a que la operación estaba activa desde al menos agosto de 2025.

Una campaña de espionaje con múltiples frentes

Todo parece indicar que GreyVibe mantiene una actividad compatible con operaciones de inteligencia alineadas con los intereses estratégicos de Rusia. Sin embargo, todavía no existen pruebas suficientes para atribuir la campaña directamente al Estado ruso, según informan desde Bleeping Computer.

Las evidencias que apuntan hacia un origen ruso incluyen el idioma utilizado en diversas herramientas maliciosas, comentarios encontrados en el código de los programas empleados y la configuración horaria de sus infraestructuras de mando y control, ajustadas a la zona horaria de Moscú.

Lo que diferencia a GreyVibe de otros grupos es la amplitud de técnicas empleadas. Los investigadores han identificado varias operaciones simultáneas destinadas a engañar a las víctimas mediante correos electrónicos, páginas web falsas, aplicaciones fraudulentas y herramientas de espionaje diseñadas específicamente para cada escenario.

El papel de ChatGPT y Gemini en los ataques

Uno de los aspectos más llamativos del informe es el uso intensivo de inteligencia artificial generativa. Los analistas detectaron indicios de que GreyVibe utilizó herramientas como ChatGPT, Google Gemini e Ideogram AI para desarrollar contenidos altamente realistas destinados a sus campañas de engaño.

Gracias a estas plataformas, los atacantes pudieron generar documentos falsificados, imágenes convincentes y materiales de ingeniería social con un nivel de detalle superior al observado habitualmente en campañas tradicionales.

La IA permitió construir señuelos más creíbles, adaptados a diferentes perfiles de víctimas y con una apariencia visual capaz de aumentar considerablemente las probabilidades de éxito de los ataques.

Este fenómeno refleja una tendencia creciente dentro del ecosistema de la ciberdelincuencia: la utilización de modelos de lenguaje para automatizar tareas que anteriormente requerían más tiempo, conocimientos especializados y recursos humanos.

Correos maliciosos y descargas fraudulentas

Entre las campañas detectadas figura una operación basada en correos electrónicos dirigidos específicamente a determinadas víctimas.

Los mensajes distribuían archivos comprimidos alojados en servicios legítimos de almacenamiento en la nube. Los documentos aparentaban proceder de organismos gubernamentales, compañías energéticas, entidades de telecomunicaciones o servicios de emergencia vinculados a Ucrania.

Una vez descargados, los archivos activaban diferentes cargas maliciosas capaces de comprometer los equipos afectados.

La utilización de plataformas legítimas para distribuir malware dificulta la detección de estas amenazas y aumenta la confianza de los usuarios en los archivos recibidos.

Falsos portales y trampas digitales

Otra de las técnicas empleadas consistió en crear páginas web que imitaban servicios ampliamente conocidos.

Algunas simulaban procesos de verificación de seguridad similares a los utilizados por plataformas populares de videoconferencia o sistemas de protección web. Las víctimas eran inducidas a ejecutar comandos en sus propios equipos bajo la falsa creencia de estar completando una comprobación de seguridad.

Los investigadores también localizaron falsos portales de citas y páginas para adultos orientadas al público ucraniano. Estos sitios distribuían programas espía para Android y herramientas maliciosas para sistemas Windows capaces de recopilar información sensible.

Incluso se detectaron personajes ficticios utilizados en aplicaciones de mensajería que mantenían conversaciones con las víctimas para generar confianza antes de iniciar el robo de información.

Malware diseñado para el espionaje

GreyVibe empleó varias familias de malware desarrolladas específicamente para sus operaciones.

Entre ellas destaca LegionRelay, un troyano de acceso remoto basado en PowerShell que permite extraer archivos, capturar pantallas, obtener credenciales almacenadas en navegadores y recopilar datos procedentes de aplicaciones de mensajería como Telegram o WhatsApp.

Los investigadores creen que parte de su desarrollo pudo haberse apoyado también en herramientas de inteligencia artificial.

Otra de las amenazas identificadas es PhantomRelay, capaz de recopilar información del sistema comprometido, ejecutar comandos remotos y cargar scripts de manera dinámica.

En dispositivos Android, GreyVibe utilizó FallSpy, un programa espía diseñado para recopilar contactos, registros de llamadas, ubicaciones, archivos multimedia, información de red y datos de tarjetas SIM.

Un grupo a medio camino entre espionaje y ciberdelincuencia

Aunque la actividad observada recuerda a las campañas de inteligencia patrocinadas por Estados, los investigadores encontraron comportamientos poco habituales en actores gubernamentales altamente sofisticados.

Por ejemplo, algunas versiones de prueba del malware fueron subidas a plataformas públicas de análisis, una práctica que suele evitarse en operaciones profesionales de espionaje. También se detectó el despliegue ocasional de programas de minería de criptomonedas en equipos comprometidos.

Estos indicios sugieren que GreyVibe podría estar formado por antiguos ciberdelincuentes, miembros actuales de organizaciones criminales o incluso equipos híbridos que combinan intereses económicos con objetivos geopolíticos.

Investigadores de seguridad han localizado un anuncio publicado en un foro de cibercrimen de la dark web donde un ciberdelincuente está vendiendo el acceso a un panel de nóminas vinculado a una administración pública española. 

El actor que publica la oferta afirma que el sistema estaría asociado a un volumen de nóminas del mes de abril que superaría los 962.000 euros netos gestionados mediante transferencias SEPA.

Asimismo, el cibermalo se jacta de que puede incluso modificar datos bancarios de los empleados. Según indica, los detalles que puede cambiar son el código de la entidad, el código de la oficina, el dígito de control, la cuenta y el código IBAN.

En un escenario real un actor de amenazas podría cambiar la cuenta y añadir una que esté en su poder para que le vayan transfiriendo el pago de los salarios de los empleados mes a mes. 

¿Acceso real o machada hacker?

Como supuesta prueba, el vendedor asegura poder facilitar accesos adicionales al sistema y ejemplos de nóminas del mismo periodo. No obstante, dice que lo hará cuando le hayan realizado un pequeño pago por adelantado. 

Se desconoce cuál es la institución u organismo público al que se refiere el atacante y si los supuestos datos son verdaderos. 

La publicación no ha sido verificada por ahora por fuentes independientes. En muchos casos, estos anuncios mezclan datos reales, filtraciones antiguas o información fabricada con el objetivo de aumentar el valor percibido del acceso en venta.

La Policía Nacional ha detenido en la provincia de Granada a una persona acusada de difundir información personal perteneciente a integrantes de organismos considerados estratégicos para el funcionamiento del Estado. 

La operación se desarrolló después de que los investigadores detectaran la aparición de información privada de funcionarios y trabajadores vinculados a instituciones clave.

Entre los organismos afectados figuran entidades relacionadas con la ciberseguridad, la administración tributaria, la seguridad pública y la coordinación de asuntos estratégicos del Estado.

Una investigación activada por la difusión de información sensible

Las pesquisas comenzaron cuando se tuvo conocimiento de que numerosos datos personales estaban siendo compartidos en diferentes plataformas online accesibles para terceros.

La naturaleza de la información expuesta elevó de inmediato el nivel de alerta de los servicios especializados, ya que podía afectar tanto a la seguridad individual de los afectados como al correcto funcionamiento de organismos públicos esenciales.

Según los datos conocidos, la información difundida correspondía a empleados y miembros vinculados al Instituto Nacional de Ciberseguridad (INCIBE), la Fiscalía General del Estado, el Consejo de Seguridad Nacional, la Agencia Tributaria, el Ministerio de Hacienda, la Policía Nacional, la Guardia Civil y diferentes departamentos del Ministerio Fiscal.

La investigación quedó bajo la supervisión del Juzgado de Instrucción número 22 de Madrid, que coordinó las actuaciones necesarias para identificar al presunto responsable de la publicación de estos datos.

Registro domiciliario y análisis de dispositivos electrónicos

Una vez identificado el sospechoso, los agentes desplegaron un operativo que culminó con su arresto y el registro de su vivienda. Durante la intervención se incautaron diversos equipos informáticos, dispositivos electrónicos y material tecnológico susceptible de contener información relevante para la investigación.

Los especialistas en delitos tecnológicos analizan actualmente el contenido de los equipos intervenidos con el objetivo de determinar el alcance exacto de la actividad desarrollada, conocer el origen de la información difundida y averiguar si existen otras personas implicadas.

El examen forense digital de estos dispositivos será determinante para esclarecer si la filtración fue ejecutada de forma individual o si contó con la colaboración de terceros.

El peligro creciente del doxing contra instituciones públicas

La operación vuelve a poner de manifiesto una amenaza cada vez más frecuente en el ámbito digital: el denominado doxing.

Este término se utiliza para describir la publicación o divulgación de datos personales de una persona sin su consentimiento con el propósito de exponerla públicamente, intimidarla o facilitar acciones perjudiciales contra ella.

Cuando esta práctica afecta a funcionarios, miembros de las fuerzas de seguridad o trabajadores de organismos estratégicos, las consecuencias pueden multiplicarse.

La exposición de direcciones, teléfonos, correos electrónicos u otros datos identificativos puede facilitar campañas de acoso, amenazas, intentos de extorsión o acciones coordinadas dirigidas contra personas concretas o contra las instituciones a las que pertenecen.

Los expertos en ciberseguridad llevan años alertando de que este tipo de campañas se han convertido en una herramienta habitual dentro de determinados entornos digitales radicalizados o vinculados a actividades ilícitas.

La investigación sigue abierta

La rapidez con la que actuaron los investigadores fue uno de los factores clave para limitar la difusión de la información y reducir los posibles riesgos derivados de su publicación.

El operativo permitió localizar al presunto responsable en pocos días desde la detección de los hechos y evitar que la exposición continuara ampliándose.

No obstante, las pesquisas continúan abiertas. Los agentes trabajan ahora para determinar si detrás de la campaña existía una estructura más amplia de perfiles coordinados o si participaron otros colaboradores en la recopilación y distribución de los datos.

La Dirección General de la Policía (DGP) podría haber sido víctima de un serio ciberataque. Un pirata informático ha publicado en un foro de la dark web un mensaje en el que asegura haber accedido a su sistema y haberse hecho con 13 GB de datos, que contendrían 19 millones de registros. 
Un grupo enfocado en víctimas hispanohablantes

El atacante, que se hace llamar Skull1172 o EsqueleSquad, está vinculado a otros ataques anteriores en países de habla hispana.

Así, el grupo logró piratear la web del OEAR (Observatorio Electoral Argentino), plataforma lanzada en 2015 por CIPPEC (Centro de Implementación de Políticas Públicas para la Equidad y el Crecimiento), uno de los think tanks y organizaciones independientes más importantes de Argentina. 

La banda asegura haber comprometido el FTP, el panel, la base de datos, el VPS y el dominio, el cual sigue con la imagen del hackeo actualmente. 

El grupo también usa su página web oficial para exponer los datos de distintas personalidades (‘doxxing’). En ella incluye un listado de víctimas, acompañados de sus redes sociales e información personal, en muchos casos incorporando también los de sus familiares. 

En las últimas horas ha comenzado a circular en foros para ciberdelincuentes la supuesta venta de una base de datos completa atribuida a clientes de CeX España, la conocida cadena de compra-venta de productos tecnológicos de segunda mano.

Además, el pirata informático también afirma haber exfiltrado, historiales de compras y ventas, saldos de crédito en tienda, métodos de pago preferidos, números de serie de dispositivos vendidos o comprados y cupones y programas de fidelización.

Igualmente, el hacker se jacta de haber robado otros detalles, como identificadores internos de los clientes, fechas de último acceso y registros transaccionales hasta octubre de 2024.  CeX España cuenta con una red de aproximadamente 65 establecimientos en el país, repartidos principalmente entre grandes ciudades como Madrid, Barcelona, Valencia, Sevilla, Málaga o Bilbao, además de presencia en otros puntos del territorio, incluyendo en las Islas Canarias. 

La compañía opera en nuestro territorio desde principios de los años 2000 y se ha consolidado como uno de los principales actores en la compraventa de tecnología, videojuegos y dispositivos de segunda mano.

A nivel global, la británica CeX supera las 600 tiendas distribuidas en varios mercados internacionales, con fuerte presencia en Reino Unido, España, India, Irlanda, México o Australia y más de 2.600 empleados. 

Desde Escudo Digital nos hemos puesto en contacto con la compañía en España para esclarecer lo sucedido y saber qué medidas está tomando la firma. Actualizaremos la información en el caso de recibir respuesta. 

¿Cuántos afectados ha habido?

Por ahora no se sabe cómo el cibermalo habría accedido a todos estos detalles o cuántos afectados hay exactamente. Tampoco se ha revelado si se ha tratado de un ataque de ransomware y qué cantidad habría pedido el atacante a la firma. 

Este tipo de información, de confirmarse, supondría un alto riesgo de robo de identidad, fraude financiero y campañas de phishing altamente personalizadas.

*** Actualización 2-junio-

El departamento de marketing de CeX se ha puesto en contacton con este medio y remitido el siguiente comunicado:

«En respuesta a una reciente información publicada online que afirma que se han ofrecido datos confidenciales de clientes a la venta en la dark web, CeX España puede confirmar que nuestros equipos de ciberseguridad han llevado a cabo una exhaustiva investigación.

Podemos afirmar categóricamente que nuestros sistemas no han sufrido ninguna brecha de seguridad y que nuestras bases de datos de clientes permanecen totalmente seguras.

Nuestra investigación ha revelado que los datos que circulan en la dark web son completamente falsos y no provienen de nuestra empresa. Parece tratarse de un elaborado engaño, que utiliza información recopilada de fuentes históricas de terceros no relacionadas entre sí, diseñado para confundir.

La seguridad y protección de nuestros clientes es nuestra máxima prioridad. Monitorizamos continuamente nuestras redes y sistemas mediante protocolos avanzados de detección de amenazas. No es necesario por tanto que nuestros clientes, tanto online como en tienda, realicen ninguna acción, ya que todos nuestros sistemas siguen funcionando con normalidad y de forma segura». 

Durante años, las organizaciones aprendieron a controlar el fenómeno conocido como Shadow IT: el uso de aplicaciones, servicios o dispositivos tecnológicos sin la aprobación del área de sistemas. Sin embargo, la expansión de la inteligencia artificial generativa abrió una nueva versión del problema, más compleja y con mayores implicaciones: Shadow AI.

Empleados que utilizan asistentes de inteligencia artificial para redactar documentos, analizar información, generar código o automatizar tareas pueden estar introduciendo datos corporativos en plataformas que la empresa no controla. Lo que parece una mejora de productividad puede convertirse en una exposición silenciosa de información sensible, propiedad intelectual o datos regulados.

El desafío para los equipos de ciberseguridad ya no consiste únicamente en proteger redes, servidores y aplicaciones tradicionales. Ahora también deben comprender qué herramientas de inteligencia artificial están siendo utilizadas dentro de la organización, qué información procesan y qué riesgos representan.

¿Qué es Shadow AI y por qué preocupa a la ciberseguridad?

Shadow AI describe el uso de herramientas de inteligencia artificial dentro de una organización sin autorización, supervisión o gestión formal por parte de los equipos responsables de tecnología y seguridad.

El fenómeno incluye desde empleados que utilizan versiones públicas de asistentes de IA para tareas laborales hasta equipos de desarrollo que incorporan modelos externos en aplicaciones internas sin pasar por procesos de evaluación de seguridad.

La situación comparte similitudes con Shadow IT, pero introduce una diferencia importante: la inteligencia artificial no solo almacena o transmite información, también puede analizarla, transformarla y generar nuevos resultados a partir de ella.

Un trabajador podría cargar contratos, informes financieros, código propietario o documentos internos en una plataforma de IA buscando obtener una respuesta rápida. Sin controles adecuados, esa información puede quedar expuesta a terceros o almacenada bajo condiciones que la organización desconoce.

La productividad impulsa el crecimiento de la IA no autorizada

La popularidad de las herramientas de inteligencia artificial generativa ha cambiado la forma en que muchos profesionales realizan sus actividades diarias.

Redactar correos, resumir documentos, crear presentaciones, programar aplicaciones o analizar grandes cantidades de información son tareas que pueden realizarse en pocos segundos mediante asistentes de IA.

El problema aparece cuando la adopción ocurre más rápido que la capacidad de las empresas para establecer políticas de seguridad.

En muchos casos, los empleados no buscan evadir controles. Simplemente utilizan una herramienta que consideran útil para resolver una necesidad concreta, sin conocer completamente cómo se gestionan los datos introducidos o qué riesgos existen.

Este comportamiento crea una zona desconocida para los responsables de seguridad: sistemas de inteligencia artificial funcionando dentro de la organización sin inventario, evaluación de riesgos ni supervisión.

¿Cómo funciona el riesgo de Shadow AI?

El principal problema de Shadow AI está relacionado con la pérdida de visibilidad.

Cuando una empresa no sabe qué herramientas de IA están utilizando sus empleados, tampoco puede determinar:

• Qué información se está compartiendo.
• Qué proveedores externos reciben esos datos.
• Qué permisos tienen las aplicaciones conectadas.
• Qué modelos procesan la información.
• Qué controles de privacidad existen.

Un ejemplo común ocurre cuando un empleado copia información interna en un chatbot público para obtener ayuda con una tarea. Aunque la intención sea legítima, esa acción puede exponer datos que deberían permanecer dentro de los sistemas corporativos.

La situación se vuelve más compleja con los agentes de inteligencia artificial, capaces de ejecutar acciones, conectarse a servicios externos y trabajar con diferentes fuentes de información.

Principales riesgos de Shadow AI para las empresas

Filtración de información confidencial

Uno de los mayores riesgos es la exposición accidental de datos sensibles.

Las empresas manejan información como:

• Estrategias comerciales.
• Código fuente.
• Información financiera.
• Datos personales de clientes.
• Documentos legales.
• Propiedad intelectual.

Si estos datos son introducidos en herramientas de IA sin controles adecuados, la organización pierde parte del control sobre su información.

Exposición de propiedad intelectual

Los modelos de inteligencia artificial pueden convertirse en una herramienta para procesar información estratégica.

Diseños, investigaciones, documentos internos o código desarrollado por una empresa representan activos valiosos que podrían quedar comprometidos mediante un uso inadecuado de servicios externos.

Incumplimiento normativo

Sectores como salud, banca o gobierno están sujetos a regulaciones estrictas sobre protección de datos.

El uso de herramientas de IA no autorizadas puede generar problemas relacionados con privacidad, almacenamiento de información y cumplimiento de requisitos legales.

Nuevas superficies de ataque

Las aplicaciones de inteligencia artificial pueden conectarse con otros sistemas mediante APIs, complementos o integraciones.

Cada conexión adicional representa un posible punto de entrada si no existe una evaluación adecuada de seguridad.

Shadow AI y el desafío para los equipos de ciberseguridad

Los departamentos de seguridad enfrentan un cambio importante: bloquear completamente el uso de inteligencia artificial no suele ser una estrategia sostenible.

La IA ofrece beneficios reales para las organizaciones y puede mejorar la productividad de diferentes áreas.

El objetivo es encontrar un equilibrio entre innovación y control.

La ciberseguridad moderna necesita pasar de una postura basada únicamente en prohibiciones hacia modelos de gobernanza que permitan identificar riesgos, establecer reglas claras y ofrecer herramientas aprobadas.

El enfoque recomendado por marcos como el NIST AI Risk Management Framework consiste en gestionar los riesgos de los sistemas de inteligencia artificial durante todo su ciclo de vida, desde el desarrollo hasta su utilización final.

Casos habituales donde aparece Shadow AI

Aunque no todos los casos representan incidentes de seguridad, existen escenarios frecuentes que muestran cómo surge este riesgo:

Desarrollo de software

Programadores pueden utilizar asistentes de IA para generar código o solucionar errores rápidamente. Sin controles, podrían compartir fragmentos de aplicaciones internas o información sobre infraestructura.

Departamentos administrativos

Equipos de recursos humanos, marketing o finanzas pueden recurrir a herramientas generativas para analizar documentos o preparar informes.

El riesgo aparece cuando incluyen información personal, contratos o datos empresariales sensibles.

Investigación y análisis

Profesionales pueden utilizar IA para resumir investigaciones, analizar documentos técnicos o preparar contenidos estratégicos.

Sin una política clara, información confidencial puede terminar en plataformas externas.

Cómo pueden las empresas reducir el riesgo de Shadow AI

La solución no consiste únicamente en bloquear herramientas. Las organizaciones necesitan desarrollar una estrategia integral de gobernanza de inteligencia artificial.

Crear políticas claras de uso de IA

Las empresas deben establecer reglas sobre:

• Qué herramientas están autorizadas.
• Qué información puede compartirse.
• Qué datos están prohibidos.
• Qué procesos requieren aprobación.

Identificar el uso real de inteligencia artificial

Antes de aplicar controles, es necesario conocer qué herramientas utilizan realmente los empleados.

La visibilidad permite tomar decisiones basadas en riesgos reales y no únicamente en suposiciones.

Capacitar a los trabajadores

La educación es una de las principales defensas.

Los empleados deben comprender que una herramienta de IA no funciona como un simple buscador, sino como un sistema que procesa información y puede generar riesgos si se utiliza incorrectamente.

Implementar controles técnicos

Las organizaciones pueden utilizar mecanismos como:

• Protección contra pérdida de datos (DLP).
• Gestión de identidades.
• Control de acceso.
• Monitoreo de aplicaciones.
• Evaluaciones de seguridad para proveedores de IA.

El futuro de Shadow AI: de la amenaza invisible a la gobernanza inteligente

La inteligencia artificial seguirá incorporándose en prácticamente todas las áreas empresariales. Por ello, el reto para las organizaciones no será detener su adopción, sino aprender a administrarla de forma segura.

El fenómeno de Shadow AI demuestra que los riesgos tecnológicos ya no aparecen únicamente cuando un atacante externo intenta ingresar a una red. También pueden surgir desde dentro, cuando una herramienta aparentemente útil opera fuera del control de la organización.

La próxima etapa de la ciberseguridad empresarial estará marcada por la capacidad de conocer, supervisar y proteger los sistemas de inteligencia artificial utilizados diariamente. Las empresas que logren combinar innovación con gobernanza tendrán mejores condiciones para aprovechar el potencial de la IA sin convertirla en un punto débil de su seguridad digital.

La inteligencia artificial dejó de ser una herramienta reservada para laboratorios de investigación y grandes empresas tecnológicas. Hoy impulsa asistentes virtuales, plataformas de atención al cliente, sistemas de análisis financiero, diagnósticos médicos, soluciones industriales y una creciente cantidad de servicios críticos. A medida que su adopción se acelera, también cambia el interés de los ciberdelincuentes, que comienzan a mirar más allá del robo de datos y dirigen sus esfuerzos hacia un activo mucho más valioso: los propios modelos de inteligencia artificial.

Este cambio marca una nueva etapa para la ciberseguridad. Si durante años los ataques se concentraron en bases de datos, credenciales o infraestructura tecnológica, ahora los modelos de IA representan un objetivo estratégico. Su desarrollo puede requerir millones de dólares en inversión, enormes volúmenes de datos y meses de entrenamiento, lo que los convierte en un recurso de alto valor tanto para organizaciones como para actores criminales y grupos patrocinados por Estados.

El llamado AI Model Hijacking o secuestro de modelos de inteligencia artificial engloba un conjunto de técnicas destinadas a robar, copiar, manipular o utilizar modelos sin autorización. El impacto trasciende la pérdida de propiedad intelectual: también puede afectar la confiabilidad de sistemas críticos, exponer información sensible y facilitar nuevos ataques contra empresas y usuarios.

El modelo de inteligencia artificial: un activo estratégico para las organizaciones

Un modelo de IA concentra mucho más que líneas de código. Representa el resultado de procesos complejos de recopilación y preparación de datos, entrenamiento computacional, optimización y validación.

En sectores como la banca, la salud, la industria, el comercio electrónico o la ciberseguridad, estos modelos contienen conocimiento especializado capaz de automatizar tareas, detectar fraudes, identificar amenazas o mejorar la toma de decisiones. Su valor competitivo ha convertido a la inteligencia artificial en uno de los activos digitales más importantes para muchas organizaciones.

Por esa razón, proteger un modelo ya no consiste únicamente en impedir que alguien acceda al servidor donde está almacenado. También implica asegurar todo su ciclo de vida, desde el desarrollo hasta su implementación y actualización continua.

¿Qué significa secuestrar un modelo de inteligencia artificial?

El término puede resultar engañoso porque no siempre implica tomar el control completo del modelo. En muchos casos, el objetivo consiste en obtener acceso no autorizado para copiarlo, extraer su funcionamiento interno o manipular su comportamiento.

Entre las principales modalidades identificadas por investigadores y organismos especializados destacan:

Robo o extracción de modelos

Conocido como Model Extraction, este ataque busca reconstruir un modelo realizando miles o incluso millones de consultas cuidadosamente diseñadas. Analizando las respuestas, un atacante puede crear una copia funcional con un nivel de precisión considerable.

Diversas investigaciones académicas han demostrado que esta técnica puede comprometer modelos expuestos mediante interfaces de programación (API), especialmente cuando existen pocos controles sobre el número y el tipo de consultas realizadas.

Manipulación del comportamiento

Otra posibilidad consiste en alterar el funcionamiento del modelo para que produzca respuestas incorrectas o favorezca determinados resultados.

En sistemas utilizados para detectar fraude financiero o identificar amenazas de ciberseguridad, una manipulación de este tipo podría reducir significativamente la capacidad de detección sin que el cambio resulte evidente para los administradores.

Robo de propiedad intelectual

Muchas organizaciones consideran sus modelos como uno de sus activos más valiosos. Obtener una copia permite ahorrar meses de desarrollo y enormes inversiones económicas.

En determinados escenarios, el interés puede provenir de competidores desleales, grupos criminales organizados o campañas de espionaje industrial.

¿Por qué este tipo de ataques está cobrando tanta relevancia?

El crecimiento acelerado de la inteligencia artificial ha multiplicado la superficie de ataque.

Actualmente, miles de modelos están disponibles mediante servicios en la nube, plataformas SaaS, aplicaciones empresariales y asistentes inteligentes. Cada nuevo punto de acceso representa una posible oportunidad para un atacante si no existen mecanismos adecuados de protección.

Al mismo tiempo, el desarrollo de modelos avanzados requiere inversiones cada vez mayores. Entrenar un modelo de gran escala puede implicar importantes recursos computacionales, equipos especializados y grandes volúmenes de información. Desde la perspectiva del cibercrimen, robar un modelo ya entrenado puede resultar mucho más rentable que desarrollar uno desde cero.

Organizaciones como el OWASP han advertido sobre estos riesgos mediante proyectos específicos orientados a la seguridad de aplicaciones basadas en inteligencia artificial, mientras que organismos internacionales como el NIST han incorporado la gestión del riesgo de IA dentro de sus marcos de referencia.

El nuevo objetivo: las cadenas de suministro de inteligencia artificial

La seguridad ya no depende únicamente del modelo final.

Detrás de cada sistema intervienen bibliotecas de software, conjuntos de datos, repositorios públicos, plataformas colaborativas y servicios externos. Cada uno de estos componentes puede convertirse en un punto de entrada para un ataque.

Una biblioteca comprometida durante el entrenamiento, un conjunto de datos manipulado o un repositorio alterado pueden afectar el comportamiento del modelo sin necesidad de vulnerar directamente la infraestructura principal.

Esta realidad ha impulsado el concepto de AI Supply Chain Security, que busca proteger toda la cadena de desarrollo de sistemas basados en inteligencia artificial.

Riesgos para las empresas

Las consecuencias de un secuestro de modelos pueden extenderse mucho más allá de una pérdida económica inmediata.

Entre los principales impactos destacan:

• Pérdida de propiedad intelectual.
• Exposición de algoritmos propietarios.
• Reducción de la ventaja competitiva.
• Manipulación de sistemas automatizados.
• Interrupción de servicios críticos.
• Incumplimiento de requisitos regulatorios.
• Daño reputacional.
• Costos asociados a investigaciones, recuperación y fortalecimiento de controles.

En organizaciones que utilizan IA para detectar amenazas o prevenir fraude, un modelo comprometido también puede facilitar ataques posteriores al disminuir la eficacia de los mecanismos defensivos.

¿También representa un riesgo para los usuarios?

Aunque estos ataques suelen dirigirse contra organizaciones, los usuarios también pueden verse afectados.

Si un modelo responsable de detectar correos fraudulentos, analizar operaciones financieras o identificar actividades sospechosas deja de funcionar correctamente, aumentan las probabilidades de que amenazas reales pasen inadvertidas.

También existe el riesgo de que aplicaciones basadas en IA ofrezcan recomendaciones incorrectas, divulguen información sensible o respondan de forma manipulada cuando su comportamiento ha sido alterado.

Casos documentados y señales de alerta

Hasta el momento, la mayor parte de la evidencia pública proviene de investigaciones académicas, ejercicios de seguridad y demostraciones realizadas por especialistas.

Diversos estudios han confirmado la viabilidad de ataques de extracción de modelos, inversión de modelos (Model Inversion) y manipulación mediante técnicas como Data Poisoning y Prompt Injection.

Paralelamente, empresas especializadas en ciberseguridad han comenzado a incorporar controles específicos para proteger plataformas de inteligencia artificial, mientras que fabricantes de servicios en la nube han fortalecido mecanismos destinados a limitar consultas automatizadas, proteger APIs y supervisar el uso anómalo de modelos.

Todo ello refleja una tendencia clara: la industria ya no considera estas amenazas como escenarios hipotéticos, sino como riesgos que requieren medidas preventivas.

Cómo fortalecer la ciberseguridad de los modelos de IA

La protección debe abarcar todo el ciclo de vida del modelo y no limitarse al entorno donde se ejecuta.

Control estricto de accesos

Solo el personal autorizado debe poder modificar, entrenar o desplegar modelos de inteligencia artificial. La autenticación multifactor, la gestión de identidades y el principio de mínimo privilegio siguen siendo fundamentales.

Protección de las API

Muchas plataformas permiten interactuar con modelos mediante interfaces públicas. Implementar autenticación robusta, limitación de consultas, monitoreo continuo y detección de comportamientos anómalos ayuda a reducir el riesgo de extracción.

Supervisión del comportamiento

El monitoreo continuo permite detectar cambios inesperados en las respuestas del modelo, incrementos inusuales en las consultas o intentos automatizados de obtener información sensible.

Seguridad durante el entrenamiento

Proteger los conjuntos de datos utilizados para entrenar la inteligencia artificial reduce la posibilidad de ataques orientados a modificar su comportamiento desde el origen.

Validación continua

Las evaluaciones periódicas mediante pruebas de seguridad específicas para IA, ejercicios de Red Teaming y auditorías técnicas permiten identificar vulnerabilidades antes de que puedan ser explotadas.

El papel de los marcos internacionales

La protección de sistemas basados en inteligencia artificial se está convirtiendo en una prioridad para gobiernos, organismos de normalización y fabricantes tecnológicos.

Marcos como el AI Risk Management Framework del NIST promueven la identificación temprana de riesgos asociados al desarrollo, implementación y operación de modelos de IA.

Al mismo tiempo, iniciativas impulsadas por OWASP ofrecen guías prácticas para reducir vulnerabilidades en aplicaciones inteligentes, mientras que estándares internacionales continúan evolucionando para responder a los desafíos específicos de esta tecnología.

La tendencia apunta hacia una integración cada vez mayor entre la ciberseguridad tradicional y la gobernanza de la inteligencia artificial.

Un cambio de paradigma para la defensa digital

Durante décadas, los esfuerzos de protección se concentraron en preservar datos, redes y sistemas. La expansión de la inteligencia artificial añade una nueva dimensión a ese desafío: proteger el conocimiento que las organizaciones incorporan dentro de sus modelos.

El secuestro de modelos de IA representa una evolución natural del cibercrimen en un entorno donde los algoritmos comienzan a generar tanto valor como la información que procesan. Frente a este escenario, la capacidad para asegurar cada etapa del ciclo de vida de la inteligencia artificial será tan importante como proteger servidores, aplicaciones o bases de datos.

La próxima gran batalla de la ciberseguridad no solo se librará alrededor de los datos. También tendrá como objetivo preservar la integridad, la confiabilidad y la propiedad de los modelos que impulsan la nueva generaci