CIBERSEGURIDAD

La IA no está creando nuevos riesgos: está acelerando los que ya existían

28 mayo 2026

Durante años, ciertos tipos de ataques parecían reservados a perfiles altamente especializados: identificar vulnerabilidades, generar código malicioso o encontrar puntos débiles requería conocimientos avanzados, tiempo y recursos.

Hoy ese escenario empieza a cambiar.

La inteligencia artificial no está inventando amenazas completamente nuevas; está haciendo que amenazas que ya existían sean más rápidas, más accesibles y más cómodas de ejecutar.

En un contexto donde las empresas dependen cada vez más de herramientas, plataformas y servicios interconectados, la pregunta ya no es únicamente quién puede atacar, sino cuántos pueden hacerlo.

Menos barreras, más capacidad.

Históricamente, preparar un ataque requería una combinación de experiencia técnica, tiempo y recursos. Hoy la IA permite acelerar tareas que antes eran manuales: análisis de información pública, búsqueda de posibles vulnerabilidades, automatización de procesos repetitivos o generación de código.

No significa que cualquier persona pueda ejecutar ataques altamente sofisticados de la noche a la mañana, pero sí implica algo importante: la barrera de entrada empieza a reducirse.

Lo que antes podía requerir días o semanas de trabajo puede comprimirse considerablemente, haciendo que amenazas conocidas ganen velocidad y escala.

Lo que estamos viendo ya no es teoría.

Hace unos años, muchas conversaciones sobre inteligencia artificial y ciberseguridad se centraban en escenarios futuros: qué podría ocurrir o cómo podrían evolucionar los ataques. Hoy la conversación es distinta.

Los datos y los incidentes recientes muestran un patrón claro: los atacantes están utilizando herramientas de IA para acelerar procesos que ya existían, desde la identificación de vulnerabilidades hasta campañas más elaboradas de ingeniería social o ataques sobre cadenas de suministro digitales.

En las últimas semanas hemos visto ejemplos muy claros de este cambio de escenario.

Uno de los casos más relevantes ha sido la campaña conocida como Mini Shai-Hulud, un ataque a la cadena de suministro de software que comprometió cientos de paquetes utilizados por desarrolladores y entornos de integración continua. El objetivo no era atacar directamente a una empresa concreta, sino aprovechar herramientas de confianza utilizadas por miles de organizaciones para robar credenciales, secretos y accesos a entornos de desarrollo.

Lo preocupante de este tipo de ataques es que muchas organizaciones pueden resultar afectadas sin haber sido el objetivo inicial. Basta con utilizar una librería, una dependencia o un servicio de terceros comprometido.

Además, la campaña fue evolucionando rápidamente y terminó afectando a ecosistemas ampliamente utilizados por desarrolladores, incluyendo herramientas relacionadas con TanStack, SDKs y paquetes utilizados por entornos de IA y desarrollo moderno.

Lo que hace especialmente interesante este tipo de ataques es que cambian el punto de entrada tradicional. Ya no se trata únicamente de vulnerar una empresa: se compromete una pieza del ecosistema y el impacto se multiplica automáticamente.

¿Por qué en 2026 tu contraseña es el menor de tus problemas?

¿Estamos entrando en una nueva etapa?

Desde finales de 2025 han empezado a aparecer conversaciones dentro del sector sobre una posible nueva etapa o “cuarta oleada” de ataques: amenazas más automatizadas, con mayor capacidad de propagación y apoyadas por herramientas de IA. Lo que se traduce en que los modelos tradicionales de defensa están bajo presión.

Algunos ataques recientes empiezan a mostrar comportamientos especialmente preocupantes, con malware capaz de propagarse entre dependencias y aprovechar credenciales robadas para extenderse automáticamente entre repositorios y entornos de desarrollo.

No significa que los mecanismos actuales hayan dejado de funcionar, pero sí que la velocidad a la que evolucionan las amenazas está obligando a replantear muchas estrategias.

Quizá el cambio más importante sea este. Durante mucho tiempo hemos partido de una idea relativamente cómoda: algo es seguro hasta que se demuestra lo contrario.

Hoy empieza a imponerse una lógica que ya conocíamos: hasta que se demuestre lo contrario, nada debería considerarse seguro al 100 % (Zero-Trust).

Mientras llegan soluciones más maduras: ¿qué podemos hacer desde hoy?

No existe una solución definitiva ni una fórmula capaz de eliminar completamente el riesgo, especialmente en un contexto donde los ataques empiezan a aprovechar cadenas de distribución legítimas, dependencias comprometidas o procesos de confianza aparentemente seguros. Sin embargo, sí existen medidas que pueden reducir significativamente la exposición:

• Limitar privilegios y restringir la instalación de software, extensiones o dependencias únicamente a entornos y usuarios autorizados.
• Establecer procesos de validación y auditoría antes de desplegar nuevas dependencias, librerías o herramientas en entornos corporativos.
• Evitar la instalación automática o indiscriminada de las últimas versiones sin una revisión previa, especialmente en sistemas críticos.

Según nos cuenta nuestro experto, “precisamente el mantener las dependencias actualizadas ha sido el problema, pues se propagó, a través de, una actualización infectada que acabó siendo publicada antes de que nadie se diera cuenta”. De ahí la importancia de revisar esas posibles actualizaciones que vayamos a efectuar.

• Reforzar prácticas de DevSecOps y seguridad en la cadena de suministro software.
• Auditar periódicamente configuraciones de repositorios, forks, pipelines y sistemas de integración para detectar posibles vectores de compromiso.
• Proteger y securizar especialmente los canales y perfiles con acceso a sistemas críticos, reduciendo riesgos asociados a ingeniería social o suplantación.
• Mantener monitorización continua sobre actividad anómala, cambios inesperados o comportamientos fuera de patrón.
• Revisar herramientas, servicios y terceros que formen parte del ecosistema tecnológico de la organización.

En muchos casos, el problema ya no está únicamente en el software malicioso, sino en la confianza implícita con la que lo incorporamos a nuestros entornos.

Desde Verizon, en declaraciones a Reuters, la directora de seguridad informática Nasrin Rezai, afirmó que era fundamental abordar las crecientes amenazas:

“Tenemos que combatir la IA con IA. Tenemos que incorporarla a nuestras prácticas. Integrarla en nuestro ciclo de vida de desarrollo de software, en nuestros procesos de pruebas, en nuestros procesos de ciberdefensa a una escala sin precedentes.”

Porque quizá la conversación ya no debería centrarse únicamente en si una empresa puede ser atacada. La pregunta empieza a ser otra: ¿estamos preparados para detectar y reaccionar a tiempo?