RespuestasPublicado22 fuentes
Cómo la IA está transformando los ciberataques: del malware generado por IA a las intrusiones con LLM
La IA está haciendo que los ciberataques existentes sean más rápidos, baratos y adaptables, en lugar de sustituir por completo las técnicas convencionales. FunkSec y RevengeHotels evidencian el desarrollo asistido por IA, mientras que LameHug representa un salto adicional: un malware que consulta un LLM durante la e...
Publicado porEditado con GPT-5.6 LunaImágenes generadas con GPT Image 1.5
Respuesta de investigación
Conclusiones clave
- La IA está haciendo que los ciberataques existentes sean más rápidos, baratos y adaptables, en lugar de sustituir por completo las técnicas convencionales.
- FunkSec y RevengeHotels evidencian el desarrollo asistido por IA, mientras que LameHug representa un salto adicional: un malware que consulta un LLM durante la ejecución para generar comandos de reconocimiento y recop...
- La respuesta práctica pasa por vigilar el comportamiento: scripts inusuales, tráfico hacia APIs de modelos de lenguaje, robo de credenciales, preparación de documentos y transferencias de datos.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How is artificial intelligence becoming deeply embedded in cyberattacks, according to Kaspersky and other cybersecurity researchers, and wha. Article summary: AI is becoming an operational layer across the attack chain: it helps criminals write and revise code, tailor phishing, automate reconnaissance, and vary payloads at machine speed. The clearest current evidence supports . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
La inteligencia artificial se está convirtiendo en una capa operativa de los ciberataques. Grupos criminales y actores vinculados a Estados pueden utilizar modelos de lenguaje de gran tamaño —conocidos como LLM— para redactar componentes de malware, crear mensajes de phishing, depurar scripts y generar variantes nuevas con una rapidez difícil de igualar mediante procesos tradicionales.
Pero la evidencia disponible apunta a una conclusión más precisa: la IA está acelerando y adaptando métodos conocidos; todavía no ha convertido todas las intrusiones en operaciones autónomas.
El cambio principal: la IA comprime el ciclo del ataque
La mayoría de las intrusiones sigue dependiendo de técnicas reconocibles, como el phishing, los scripts maliciosos, los troyanos de acceso remoto —RAT— y el robo de información. Lo que cambia con la IA es el coste y la velocidad de esas operaciones.
Un atacante puede pedir a un LLM un script inicial, traducir y personalizar un señuelo, modificar el código después de probarlo y crear varias versiones para distintos objetivos. Así, experimentar resulta más barato y se acorta el intervalo entre la idea inicial de una campaña y su despliegue.
El resultado potencial es un mayor volumen de ataques creíbles y menos tiempo de reacción para los equipos defensivos. Por eso conviene no llamar «ataque de IA» a cualquier campaña que utilice una marca o un señuelo relacionado con la inteligencia artificial: el grado de participación de la tecnología puede ser muy distinto.
FunkSec: señales de desarrollo de malware con IA
La investigación de Kaspersky sobre FunkSec ofrece un ejemplo de construcción de malware asistida por IA. Este ransomware basado en Rust combina cifrado, exfiltración local de datos y limpieza de rastros en un único ejecutable. Kaspersky también informó de indicios de síntesis de código mediante modelos de lenguaje en capacidades relacionadas, como un generador de contraseñas y una herramienta básica de denegación de servicio distribuida —DDoS—. 28
39
Esto no significa que un LLM haya diseñado, desplegado y operado por sí solo toda la campaña. La evidencia muestra que la IA generativa puede contribuir a crear componentes funcionales y ayudar a los atacantes a ensamblar un conjunto de herramientas más compacto con menos desarrollo manual.
RevengeHotels: IA dentro de una cadena de phishing convencional
La campaña de RevengeHotels observada en 2025 muestra cómo la IA puede reforzar un método de intrusión ya conocido, en vez de reemplazarlo. Kaspersky identificó ataques contra hoteles de Brasil y varios mercados hispanohablantes mediante correos que simulaban solicitudes de reserva, facturas o candidaturas laborales.
Los destinatarios eran dirigidos a sitios que imitaban servicios de almacenamiento de documentos. Desde allí, scripts terminaban instalando troyanos de acceso remoto como VenomRAT. 30
31
36
Según Kaspersky, una parte significativa del código del infectador inicial y del descargador parecía haber sido generada por agentes basados en LLM. 28 Sin embargo, la campaña seguía apoyándose en ingeniería social, ejecución de scripts y entrega de RAT, técnicas ampliamente conocidas.
La aportación de la IA fue producir y variar partes de la cadena de infección con mayor eficiencia, lo que puede facilitar la adaptación de una campaña a distintas regiones, idiomas y objetivos.
LameHug: un LLM participa durante la intrusión
El avance técnico más relevante de la evidencia disponible es LameHug, denominado también PROMPTSTEAL en algunos informes. A diferencia de un malware que solo parece haber sido escrito con ayuda de IA, LameHug utilizaba un modelo de lenguaje mientras se ejecutaba.
De acuerdo con los análisis basados en informes de CERT-UA, el malware se comunicaba con la API de Hugging Face y utilizaba el modelo Qwen2.5-Coder-32B-Instruct, de Alibaba Cloud, para generar dinámicamente comandos de Windows. Esos comandos podían recopilar información del sistema y buscar documentos de Office para su posterior exfiltración. 2
3
7
Este funcionamiento en tiempo de ejecución modifica el comportamiento del malware en varios sentidos:
- La secuencia de comandos no tiene que estar completamente fijada de antemano. El malware puede solicitar instrucciones según las indicaciones recibidas y el entorno que encuentre.
- Puede apoyarse en utilidades normales del sistema. La detección debe centrarse en la conducta y en la combinación de comandos, no solo en identificar un archivo malicioso aislado.
4
- Introduce una dependencia externa. Las solicitudes salientes poco habituales hacia una API de modelos de lenguaje pueden convertirse en una señal útil para los defensores.
LameHug no demuestra que el malware sea autónomo. Sí demuestra que un atacante puede colocar un LLM dentro del circuito operativo para ayudar a generar acciones de reconocimiento y recopilación de datos en tiempo real.
Las falsas herramientas de IA amplían la superficie de ataque
La inteligencia artificial también se está utilizando como cebo. Entre enero y abril de 2026, las soluciones de Kaspersky detectaron más de 33.300 ataques contra pequeñas y medianas empresas en los que programas maliciosos o no deseados para PC se hacían pasar por servicios populares de IA. La cifra fue casi cinco veces superior a la del mismo periodo de 2025. 50
51
Estas detecciones contabilizan software que se disfraza de servicios de IA. No prueban que cada carga maliciosa haya sido generada por inteligencia artificial ni que un sistema de IA haya operado cada ataque.
La conclusión más sólida es que los atacantes están explotando la confianza en marcas conocidas de IA y la rápida incorporación de estas herramientas en las empresas. Un supuesto generador de imágenes, chatbot o asistente de productividad puede convertirse en el mecanismo para instalar malware.
Por ello siguen siendo esenciales las políticas de instalación de software, las fuentes oficiales de descarga y los controles sólidos en los dispositivos, aunque el señuelo aparente ser un producto de IA.
Qué dicen las cifras sobre la exposición regional
La telemetría regional de Kaspersky muestra que las amenazas distribuidas a través de la web continúan siendo generalizadas, pero sus cifras no deben interpretarse como un recuento de ataques impulsados por IA.
Durante el primer semestre de 2026, Kaspersky afirmó que sus sistemas bloquearon 5,7 millones de ataques procedentes de recursos en línea en Sudáfrica, 4,5 millones en Kenia y 1,6 millones en Nigeria. Türkiye registró la mayor proporción de usuarios afectados por amenazas web dentro del conjunto de datos comunicado para la región META —Oriente Medio, Türkiye y África—, con un 22,8 %. 14
Estas mediciones abarcan amenazas distribuidas mediante sitios web, correos electrónicos y servicios en línea. Demuestran una amplia exposición a los ataques digitales, pero no que la IA haya sido la causa de cada incidente.
Por qué la adaptación importa más que la autonomía
El riesgo inmediato no es necesariamente una transición repentina hacia ejércitos cibernéticos completamente autónomos. Es la suma de pequeñas eficiencias a lo largo de toda la cadena del ataque:
- el código puede redactarse y revisarse con mayor rapidez;
- los mensajes de phishing pueden adaptarse a distintos idiomas, sectores y pretextos;
- los scripts pueden depurarse y volver a empaquetarse más deprisa;
- el comportamiento del malware puede variar según el entorno;
- el reconocimiento y la recopilación de datos pueden ajustarse durante la ejecución.
En conjunto, estas mejoras reducen el coste de lanzar una intrusión y facilitan la realización de más pruebas. También pueden ayudar a operadores con menos experiencia a imitar técnicas que antes requerían conocimientos especializados.
El riesgo es especialmente importante para organizaciones con pocos profesionales de seguridad, grandes volúmenes de información sensible o entornos complejos con proveedores externos. Aun así, las afirmaciones sobre ataques contra infraestructuras críticas requieren pruebas específicas de compromiso, impacto y participación de la IA. La reivindicación de un grupo atacante no confirma por sí sola ninguno de esos elementos.
Prioridades de defensa para las organizaciones
Los casos anteriores apuntan a una respuesta por capas y centrada en el comportamiento. Las empresas deben seguir utilizando firmas y bloqueos basados en indicadores conocidos, pero también necesitan supervisar señales que revelen ataques asistidos por IA o capaces de adaptarse dinámicamente.
Algunos indicios útiles son:
- procesos de Python o PyInstaller que realizan conexiones salientes inesperadas a servicios de modelos de lenguaje;
- prompts codificados en base64 o llamadas inusuales a APIs desde equipos que normalmente no utilizan servicios de desarrollo o IA;
- cadenas de comandos que combinan utilidades como
systeminfo,tasklist,dsqueryo búsquedas recursivas de archivos; - ejecución sospechosa mediante JavaScript, PowerShell u otros intérpretes;
- acceso anómalo a credenciales, preparación de documentos o transferencias hacia el exterior;
- instalación de aplicaciones de IA o extensiones de navegador no autorizadas.
La guía de detección de Splunk para LameHug destaca específicamente la actividad de Python o PyInstaller que se conecta con la API de Hugging Face y utiliza el modelo Qwen para generar comandos. 4 Es un ejemplo concreto de cómo detectar el comportamiento asociado a un ataque que incorpora un LLM, en lugar de esperar a identificar una firma fija de malware.
La conclusión: una capa de eficiencia para el ciberdelito
La IA se está integrando profundamente en los ciberataques porque facilita producir, personalizar y modificar operaciones existentes. FunkSec y RevengeHotels muestran el desarrollo asistido de malware; LameHug evidencia la consulta de un LLM durante una intrusión activa; y las detecciones de Kaspersky contra pymes muestran que la popularidad de las herramientas de IA también se está utilizando como señuelo. 28
31
51
La descripción más exacta no es que la IA haya sustituido al hacking convencional. Es que se está convirtiendo en una capa de eficiencia y adaptación para el phishing, el desarrollo de malware, el reconocimiento y el robo de datos.
Los defensores deben prepararse para ataques con más variantes y ciclos de iteración más rápidos, sin confundir la participación verificada de la IA con el ciberdelito tradicional que simplemente utiliza una marca de inteligencia artificial como reclamo.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Cómo la IA está transformando los ciberataques: del malware generado por IA a las intrusiones con LLM"?
La IA está haciendo que los ciberataques existentes sean más rápidos, baratos y adaptables, en lugar de sustituir por completo las técnicas convencionales.
¿Cuáles son los puntos clave a validar primero?
La IA está haciendo que los ciberataques existentes sean más rápidos, baratos y adaptables, en lugar de sustituir por completo las técnicas convencionales. FunkSec y RevengeHotels evidencian el desarrollo asistido por IA, mientras que LameHug representa un salto adicional: un malware que consulta un LLM durante la ejecución para generar comandos de reconocimiento y recop...
¿Qué debo hacer a continuación en la práctica?
La respuesta práctica pasa por vigilar el comportamiento: scripts inusuales, tráfico hacia APIs de modelos de lenguaje, robo de credenciales, preparación de documentos y transferencias de datos.
Fuentes
me-en.kaspersky.comKaspersky uncovers the cyber threats defining the first half ...
securelist.comA new RevengeHotels campaign targets Latin America
kaspersky.comKaspersky discovers the return of RevengeHotels, leveraging AI in ...