Cuando el Centro Nacional de Seguridad Cibernética (NCSC) publicó su Primeras predicciones en torno a la IA En 2024, la comunidad de ciberseguridad vivió un momento de reflexión. Se trataba de una evaluación mesurada de la amenaza a corto plazo derivada del uso malicioso de la tecnología. Su advertencia —de que la IA casi con seguridad aumentaría el volumen y el impacto de los ciberataques en los próximos dos años— fue una llamada de atención para muchos defensores de la red.

Tras ver cumplidas muchas de las predicciones del NCSC, la comunidad ya no tiene excusas ahora que la agencia ha publicado su evaluación de seguimiento. Los expertos argumentan que las organizaciones deben tomar medidas ahora para asegurarse de no verse afectadas por una creciente brecha digital entre quienes pueden afrontar la amenaza y quienes no.

Lo que dice el NCSC

El informe del NCSC Una vez más, la lectura resulta desalentadora. Advierte que la IA seguirá haciendo que la ciberintrusión sea más efectiva y eficiente, y que un número creciente de actores de amenazas accederá a dichas herramientas en los próximos dos años. Añade que el creciente uso de la IA en las organizaciones, especialmente en los proveedores de infraestructuras críticas (CNI), también ampliará significativamente su superficie de ataque.

A continuación se presentan dichas evaluaciones con más detalle:

 1. Un aumento en la “frecuencia e intensidad” de las ciberamenazas

Los actores de amenazas ya utilizan la IA para mejorar el reconocimiento, la investigación de vulnerabilidades y el desarrollo de exploits (VRED), la ingeniería social, la generación básica de malware y la exfiltración de datos. Esto aumentará el volumen y el impacto de las intrusiones en los próximos dos años, en lugar de impulsar nuevos ataques. Es probable que el VRED asistido por IA sea el caso de uso más significativo.

2. Más actores de amenazas utilizan IA

El uso delictivo de la IA aumentará hasta 2027, a medida que se incorpore a más productos. Los actores de amenazas mejorarán su capacidad para eludir las barreras de seguridad integradas en modelos legítimos y herramientas de pruebas de penetración basadas en IA para implementarlas en ofertas "como servicio", lo que facilitará la tarea a los actores novatos.

3. La automatización está llegando

Es improbable que se produzca un ciberataque avanzado, integral y totalmente automatizado antes de 2027. Sin embargo, los actores de amenazas experimentarán con la automatización de algunos elementos de la cadena de ataque. Estos incluyen la identificación y explotación de vulnerabilidades y la rápida actualización de malware e infraestructura para evadir la detección. Esto dificultará la identificación, el seguimiento y la mitigación de amenazas sin IA.

4. Una creciente amenaza de día cero por parte de actores avanzados

Los actores expertos capaces de “afinar” los modelos de IA o construir “sistemas de IA soberanos” los usarán para diseñar exploits de día cero, lo que hará que los sistemas críticos sean más vulnerables para 2027.

5. La IA amplía la superficie de ataque corporativa

La IA está cada vez más conectada a los sistemas corporativos (incluida la OT) y a los datos. Esto presenta un riesgo creciente debido a la inyección directa de avisos, vulnerabilidades de software, inyección indirecta de avisos y ataques a la cadena de suministro. Estas técnicas ya son capaces de explotar la IA para un acceso más amplio al sistema.

Los desarrolladores de IA pueden agravar estos riesgos al lanzar al mercado productos inseguros que recopilan grandes conjuntos de datos, lo que aumenta el riesgo de exponer a los usuarios ante ataques dirigidos. Otros problemas de seguridad pueden incluir:

  • Cifrado débil (lo que hace que los datos sean vulnerables a la interceptación)
  • Mala gestión y almacenamiento de identidad (lo que aumenta el riesgo de robo de credenciales)
    6. La ciberseguridad a gran escala se vuelve crítica

A medida que más actores de amenazas utilizan la IA para VRED con el fin de explotar sistemas a gran escala y reducir aún más el tiempo entre la divulgación y la explotación, los sistemas CNI y OT estarán cada vez más expuestos. Podría aumentar la brecha digital entre los sistemas capaces de gestionar esta amenaza impulsada por la IA y un número mayor de sistemas más vulnerables.

El lado correcto de la división

En ambos lados de la barrera, la automatización ahorra tiempo y aumenta la productividad. Sin embargo, los actores maliciosos suelen ser los más rápidos en detectar los beneficios de los avances tecnológicos, advierte Andy James, director ejecutivo de MSSP Custodian360.

Nos adentramos en un mundo donde hay organizaciones que creen contar con los controles y las protecciones adecuados, y otras que saben que no los tienen, pero están dispuestas a asumir los riesgos. En realidad, ninguna sabe si cuenta con los controles adecuados, y la prisa por explotar estas debilidades no hará más que aumentar.

Le comenta a ISMS.online que una mejor capacitación y concientización del personal ayudará a los usuarios a detectar las estrategias de ingeniería social diseñadas con IA, aunque estas se están sofisticando rápidamente. Las amenazas descritas por el NCSC también deberían impulsar una mayor adopción de la confianza cero en las empresas, argumenta James.

Ruth Wandhöfer de la Centro de Políticas de Ciberseguridad y Resiliencia Empresarial (CSBR)) agrega que las organizaciones deberían deshacerse de herramientas obsoletas como SIEM y otras ineficaces como los firewalls, y adoptar de manera proactiva “inteligencia de amenazas directas” (DTI) impulsada por IA.

“A diferencia de la inteligencia general sobre amenazas cibernéticas (CTI), que ofrece una gran cantidad de datos que inevitablemente incluyen una gran cantidad de falsos positivos y datos irrelevantes, la DTI proporciona a las organizaciones inteligencia sobre amenazas basada en evidencia y diseñada específicamente para su organización en particular”, explica a ISMS.online.

En su máxima expresión, esta tecnología ofrece un sistema sofisticado donde la IA y el aprendizaje automático analizan los patrones de ataque y proporcionan monitoreo de amenazas en tiempo real. Esta DTI específica para cada organización se selecciona e integra automáticamente en su pila de seguridad empresarial, actuando como una capa de defensa automatizada contra las amenazas entrantes.

Se trata de prevenir ataques antes de que puedan afectar a una organización, mediante el perfil de los adversarios, su infraestructura y sus TTP.

"Esto es aún más crítico en el contexto de los crecientes requisitos regulatorios para las posturas de ciberseguridad propias y de terceros, como en DORA y NIS 2", agrega Wandhöfer.

En cuanto a la IA como objetivo, aconseja a las organizaciones desarrollar soluciones como modelos de lenguaje grandes (LLM) internamente en lugar de conectar sistemas internos sensibles a soluciones de IA externas de código abierto.

“En cuanto a la expansión de las superficies de ataque de la IA, el auge de la IA agéntica es otra realidad de riesgo que se acerca rápidamente”, advierte Wandhöfer. “La IA agéntica puede ser hackeada, contaminada con malware para extraer datos o realizar actividades fraudulentas, y mucho más”.

Una salvación para los equipos de TI con recursos insuficientes podría ser una mejor colaboración dentro de la comunidad de seguridad.

“Con la aprobación final de la Ley de Datos (Uso y Acceso), se espera que un mayor intercambio de inteligencia entre la industria y el sector público, y entre los sectores verticales de la industria, mitigue el impacto de la IA maliciosa”, concluye.

Mientras tanto, los líderes de TI y cumplimiento harían bien en mantenerse atentos a los últimos avances y comenzar a incorporar seriamente las amenazas de IA en su planificación de riesgos.