Ataques informáticos autónomos: a las empresas les quedan seis meses para acelerar sus defensas

Un modelo ha completado por sí solo una intrusión completa

Los ataques informáticos llevados a cabo por agentes de inteligencia artificial ya no se limitan a ejecutar tareas individuales, como escribir código malicioso o analizar una vulnerabilidad. Al menos un modelo de frontera ha demostrado que puede gestionar de forma autónoma la intrusión completa en una red empresarial realista, desde la búsqueda de puntos débiles hasta la ejecución del ataque.

El 2 de septiembre, Booz Allen confirmó que Mythos 5 de Anthropic había operado como un hacker autónomo en un entorno enterprise de nivel productivo. La empresa presentó al mismo tiempo el Cyber Weapon Index, o CWI, una métrica diseñada para evaluar conjuntamente dos capacidades: identificar y explotar vulnerabilidades y, a continuación, continuar la operación contra un objetivo.

Mythos 5 obtuvo 80 puntos. Su competidor más cercano, Grok-4.5 de SpaceXAI, se quedó en 49.

El resultado no significa que los sistemas autónomos ya sean fiables en cualquier escenario. Sí demuestra, sin embargo, que la cadena ofensiva completa puede ejecutarse técnicamente sin requerir instrucciones humanas para cada paso. Ese es el salto relevante.

Brad Medairy, presidente de la división National Cyber de Booz Allen, estima que en aproximadamente seis meses podría producirse una paridad sustancial entre los modelos de frontera y los modelos chinos. No se trata de un plazo seguro, sino de una ventana de preparación: cuando haya capacidades similares disponibles en varias plataformas, el coste y la escala podrían ser más importantes que el liderazgo en la clasificación.

Las pruebas muestran una autonomía real, pero todavía no una fiabilidad constante

Los resultados del CWI son coherentes con las evaluaciones realizadas por el AI Security Institute, una entidad del Department for Science, Innovation, and Technology del Gobierno británico.

En junio, el instituto informó de que Mythos había logrado completar una cadena de ataque end-to-end durante unas pruebas de tipo capture-the-flag. En el mismo contexto, GPT-5.5 de OpenAI completó una secuencia compuesta por 32 pasos.

Los porcentajes de éxito siguen siendo limitados. Mythos concluyó el ataque en tres de cada diez intentos, mientras que GPT-5.5 lo consiguió en dos de cada diez. Ambos quedaron, por tanto, por debajo del 50 %.

El dato debe interpretarse con cautela, pero no minimizarse. Una tasa de éxito del 20 % o del 30 % puede parecer baja si se evalúa un único intento; adquiere mayor gravedad cuando el atacante puede realizar numerosas pruebas en paralelo, sin cansancio y con costes marginales cada vez menores.

La automatización también cambia el tipo de riesgo. Un sistema capaz de mantener el estado entre las distintas fases puede reconstruir la superficie expuesta, elegir un exploit, verificar el acceso obtenido y buscar nuevos destinos. No automatiza únicamente un comando: orquesta un recorrido.

Por eso, la clasificación actual es menos importante que la velocidad a la que los modelos menos avanzados pueden recuperar terreno. Si un sistema más barato alcanza un rendimiento suficiente, el ataque autónomo puede resultar rentable incluso sin ser perfecto.

El ataque contra servidores taiwaneses muestra la compresión de los plazos

Las pruebas de laboratorio no son la única señal. En julio, un grupo de amenazas informáticas de habla china atacó servidores gubernamentales taiwaneses mediante una operación desarrollada a lo largo de cuatro días.

Según el análisis de Tenable, los agentes utilizados en la actividad decidieron de forma autónoma qué sistemas mapear, qué técnicas recuperar de recursos públicos y cuándo ampliar la operación hacia otros sectores. No habrían recibido instrucciones humanas detalladas para cada acción concreta.

Tenable relacionó el caso con aproximadamente media docena de ataques más asistidos por inteligencia artificial. No se sabe qué parte de la operación fue completamente autónoma y cuál dependió de supervisión humana. Sin embargo, la ventaja operativa ya es visible: muchas tareas de reconocimiento, selección de técnicas y ejecución pueden concentrarse en una ventana de tiempo mucho más breve.

Esto pone en cuestión los tiempos de respuesta que suelen adoptar las empresas. Una intervención en menos de cuatro horas puede considerarse rápida para un equipo humano, pero podría producirse cuando un agente ya haya enumerado varios sistemas, probado distintas rutas e iniciado el movimiento lateral.

La superioridad no procede necesariamente de exploits más sofisticados. Puede derivarse del volumen: más intentos, sobre más activos y ejecutados simultáneamente.

Los modelos open-weight y los harness pueden reducir el coste de los ataques

La aceleración podría proceder no solo de los modelos de frontera, sino también de los sistemas open-weight. Estos modelos permiten un control más directo de la ejecución y pueden reducir los costes y las restricciones asociadas a los servicios propietarios.

Nico Waisman, CISO del proveedor de seguridad ofensiva XBOW, señala una mejora significativa de sus capacidades cyber. Si un modelo open-weight llega a ser suficientemente eficaz, la automatización ofensiva puede convertirse en la opción con mayor rentabilidad económica, en lugar de quedarse en una demostración experimental.

La rentabilidad depende al menos de tres variables:

• coste de los tokens y de la infraestructura necesaria;
• porcentaje de ataques completados con éxito;
• capacidad global medida mediante indicadores como el CWI.

El modelo base, además, solo es una parte del sistema. Los harness, es decir, el conjunto de herramientas, procedimientos, memoria operativa, controles y componentes de orquestación que permiten actuar a la IA, desempeñan un papel decisivo.

XBOW combinó modelos disponibles en el mercado, conocimientos humanos y harness propios para identificar seis vulnerabilidades en Google Chrome y organizarlas en dos cadenas de ataque. La ventaja no dependía del acceso exclusivo a un modelo más potente, sino de la integración entre software, herramientas operativas y personal especializado.

Por tanto, para evaluar un agente ofensivo hay que examinar qué comandos puede ejecutar, qué fuentes puede consultar, cuánta autonomía tiene y si conserva el contexto entre las distintas fases. También importan los permisos necesarios y la existencia de comprobaciones humanas.

El ruido sigue siendo una limitación, pero podría disminuir

El Cyber Weapon Index no mide adecuadamente la furtividad. Los agentes actuales tienden a ser ruidosos: generan muchas solicitudes, intentos y eventos fácilmente observables porque no han sido optimizados para ocultar su actividad.

Esta característica ofrece a los defensores una ventaja temporal. Los escaneos agresivos, las autenticaciones repetidas, los accesos anómalos y las secuencias automatizadas pueden alimentar reglas de detección eficaces.

Sin embargo, no es prudente considerar ese ruido una propiedad permanente. Unos harness más maduros podrían reducir los intentos innecesarios, distribuir las actividades en el tiempo y seleccionar mejor las técnicas. La intervención de operadores expertos también puede hacer que un agente sea más discreto.

A corto plazo, Booz Allen propone además contramedidas basadas en la deception. La solución Guile introduce pistas falsas, rutas improductivas y callejones sin salida diseñados para confundir a los agentes automáticos.

Según Medairy, los modelos fracasan ante estos engaños en más del 90 % de los casos, mientras que los seres humanos rara vez cometen los mismos errores. Por tanto, la deception puede ralentizar la automatización, pero no sustituye a la segmentación, el control de acceso ni la monitorización. Es una barrera adicional.

Cómo preparar una defensa capaz de reaccionar a velocidad de máquina

Limitarse a aplicar parches no basta. Corregir las vulnerabilidades sigue siendo esencial, pero ninguna organización puede eliminar de inmediato toda exposición. Un agente autónomo puede buscar la ruta que sigue abierta mientras el equipo corrige la que ya ha identificado.

La primera prioridad es mapear los activos críticos, las dependencias y las rutas que pueden utilizarse para ampliar una intrusión. Las cuentas, los sistemas y los segmentos deben tener privilegios limitados, de modo que una sola brecha no permita alcanzar toda la infraestructura.

Después hay que automatizar aquello que hoy ralentiza el ciclo defensivo:

• optimización de las reglas de detección;
• triaje y enriquecimiento de eventos;
• priorización de alertas;
• aislamiento de activos comprometidos;
• aplicación de contramedidas repetitivas;
• verificación continua de la eficacia de los controles.

Las empresas también deberían probar la contención, no solo la prevención. Una simulación útil debe medir con qué rapidez es posible bloquear credenciales, segmentar un sistema e interrumpir el movimiento lateral.

Los próximos seis meses no constituyen una predicción segura sobre la llegada de un ataque universal e infalible. Son, en cambio, el periodo en el que conviene prepararse para la convergencia de tres factores ya observables: modelos más capaces, mejores harness y costes más bajos.

Una defensa basada principalmente en decisiones manuales parte con desventaja. El objetivo no es eliminar la intervención humana, sino reservarla para las decisiones críticas y automatizar la detección, la verificación y la contención a la misma velocidad a la que los agentes pueden atacar.