La inteligencia artificial ya no se limita a explicar cómo funciona un ataque informático o a ayudar a escribir una pequeña pieza de código. En algunas operaciones reales, los agentes de IA están empezando a coordinar cadenas completas de acciones: reconocen objetivos, preparan herramientas, ejecutan tareas, analizan lo que encuentran y vuelven a intentarlo cuando una defensa bloquea el camino.
Ese es el principal cambio descrito en el informe de amenazas publicado por Anthropic el 10 de septiembre de 2026. La compañía afirma haber detectado y desactivado operaciones maliciosas desarrolladas entre diciembre de 2025 y agosto de 2026. Entre los actores observados había presuntos grupos vinculados a Estados, delincuentes con motivación económica, proveedores de vigilancia y operadores individuales.
El informe no demuestra que los ciberataques completamente autónomos sean ya la norma. De hecho, Anthropic aclara que presenta casos especialmente relevantes y novedosos, no una muestra representativa de todo el abuso de sus modelos. Pero sí aporta una señal importante: la IA está reduciendo el trabajo humano necesario para operar a mayor velocidad, sobre más objetivos y durante más fases de una intrusión.
Qué ha cambiado: de asistente a orquestador
Durante años, la relación entre IA y ciberseguridad se explicaba sobre todo como una ayuda puntual. Un atacante podía pedir que se corrigiera un script, que se tradujera un mensaje de phishing o que se resumiera documentación técnica. El humano decidía cada paso y trasladaba manualmente el resultado de una herramienta a la siguiente.
Los sistemas de agentes cambian ese patrón. Un agente puede recibir un objetivo amplio, dividirlo en subtareas, utilizar herramientas, conservar el estado y evaluar los resultados antes de decidir el siguiente paso. Varios agentes especializados pueden trabajar en paralelo bajo un coordinador. Es la misma arquitectura que permite automatizar procesos empresariales legítimos, pero aplicada con intención maliciosa.
Para entender la diferencia entre un modelo que responde y un sistema que actúa durante horas, resulta útil nuestra explicación de la arquitectura de agentes y automatización con IA. La capacidad decisiva no es solo generar una buena respuesta, sino encadenar percepción, decisión, herramienta, comprobación y corrección dentro de un bucle.
Tres tendencias que revela el informe
1. La automatización se extiende por toda la cadena del ataque
Según Anthropic, la mayoría de las operaciones cibernéticas destacadas en su informe utilizaron IA para ejecutar u orquestar acciones directamente. Los flujos multiagente participaron en reconocimiento, preparación de infraestructura, explotación, procesamiento de datos y exfiltración. Los humanos seguían eligiendo objetivos y revisando la información robada, por lo que no hablamos de sistemas independientes con fines propios.
La diferencia práctica es que una sola persona puede supervisar una actividad que antes habría exigido varios especialistas. El modelo puede investigar un entorno desconocido, adaptar código y resumir grandes volúmenes de datos sin que el operador comprenda cada detalle técnico. La barrera de entrada no desaparece, pero se desplaza: importan menos algunas destrezas manuales y más el acceso inicial, la intención, la infraestructura y la capacidad para dirigir el sistema.
2. La IA permite adaptar herramientas con mucha más rapidez
Uno de los patrones más preocupantes es el bucle de adaptación. En una campaña atribuida por Anthropic a un actor compatible con el grupo conocido como Midnight Blizzard, los agentes vigilaban si las herramientas maliciosas eran detectadas. Cuando aparecía una detección, modificaban y reconstruían el software para intentar evitarla, repitiendo el proceso hasta obtener una variante que no fuera bloqueada.
Esto no vuelve inútiles a los antivirus ni garantiza que el atacante tenga éxito. Sí reduce el coste de reaccionar ante una firma estática. La defensa deja de enfrentarse únicamente a un archivo preparado con antelación y pasa a competir contra un proceso capaz de observar, modificar y volver a desplegar.
3. La sofisticación técnica ya dice menos sobre quién ataca
Tradicionalmente, una operación extensa y técnicamente compleja podía indicar la presencia de un equipo bien financiado. El informe sostiene que esa inferencia es cada vez menos fiable. Actores con niveles de experiencia muy distintos han utilizado flujos de IA para ampliar la profundidad y el alcance de sus campañas.
Esto no significa que cualquier persona pueda reproducir las capacidades de un servicio de inteligencia. Los casos seguían dependiendo de credenciales robadas, vulnerabilidades, infraestructura, engaño social y decisiones humanas. Lo que cambia es la cantidad de trabajo técnico que puede comprimirse y reutilizarse mediante agentes.
Dos casos que muestran el salto de escala
Espionaje, hoteles y robo de credenciales
Anthropic describe un actor de habla rusa que automatizó buena parte del desarrollo de herramientas, la preparación de dominios, el phishing, la persistencia y la extracción de información. La compañía identificó más de veinte organizaciones en su planificación o actividad, principalmente organismos públicos, entidades diplomáticas, empresas de defensa y proveedores relacionados con Ucrania.
Una parte de la operación comprometía proveedores de redes Wi-Fi para hoteles y alteraba el tráfico con el fin de mostrar falsas actualizaciones o páginas de inicio de sesión. Microsoft Threat Intelligence documentó esa campaña como CaptiveCrunch el 31 de julio de 2026, confirmó que la IA apoyó una parte significativa de las operaciones y agradeció la colaboración de Anthropic y OpenAI. Esta fuente independiente coincide en el actor, las técnicas generales y el papel de la IA, aunque cada organización observó partes diferentes del conjunto.
Delincuencia oportunista y ataques a proveedores
Otro grupo de casos se refiere a operadores asociados por Anthropic con el ecosistema ShinyHunters. La compañía describe procesos industriales para buscar secretos expuestos, probar credenciales y ampliar el acceso desde un proveedor hacia sus clientes. En una operación, un sistema distribuido descargó y analizó 1,8 millones de aplicaciones Android en busca de claves incrustadas. En otra, el acceso a un proveedor de software habría expuesto datos de unas doscientas organizaciones clientes.
El dato más relevante no es una técnica concreta, sino el ritmo. Anthropic afirma que algunas intrusiones pasaron de un acceso inicial a un control amplio y una extracción masiva en cuestión de horas. También señala que, en determinados casos, agentes de IA realizaron casi todo el trabajo operativo mientras el humano dirigía objetivos generales y revisaba resultados.
Qué no demuestra esta investigación
- No prueba que la mayoría de los ataques usen agentes. El propio informe selecciona los ejemplos más novedosos detectados por una sola empresa.
- No atribuye a la IA una intención independiente. Los operadores humanos eligieron víctimas, proporcionaron accesos y persiguieron fines de espionaje, fraude o extorsión.
- No demuestra que las defensas hayan quedado superadas. Las cuentas fueron desactivadas, varias operaciones se detectaron y las empresas compartieron indicadores con autoridades y socios.
- No permite verificar externamente todos los detalles. Buena parte de la evidencia procede de la telemetría privada y de la investigación interna de Anthropic. La coincidencia parcial con Microsoft refuerza un caso, pero no valida automáticamente cada afirmación del informe.
Estas cautelas son esenciales. Un informe de un proveedor conoce muy bien lo sucedido dentro de su servicio, pero también decide qué puede publicar y qué señales conserva en privado. La conclusión razonable no es que haya aparecido una ciberguerra autónoma, sino que ya existen pruebas documentadas de automatización agente en operaciones reales.
Por qué los agentes amplifican el impacto
Un chatbot produce respuestas. Un agente combina respuestas con memoria, herramientas y capacidad de repetir. Esa estructura aporta cinco ventajas que son útiles tanto para defender como para atacar:
- Paralelismo: varios procesos pueden explorar objetivos o analizar datos al mismo tiempo.
- Persistencia: el sistema puede continuar durante horas sin perder el estado de cada tarea.
- Adaptación: los resultados de una acción alimentan la siguiente decisión.
- Traducción entre dominios: un modelo puede conectar documentación, código, registros e interfaces que antes requerían perfiles distintos.
- Compresión de información: grandes cantidades de archivos robados pueden clasificarse y resumirse más deprisa.
La misma lógica también favorece a los equipos de seguridad. Los agentes pueden clasificar alertas, relacionar señales, revisar configuraciones y proponer respuestas. El resultado no está predeterminado: dependerá de quién despliegue antes sistemas fiables, qué acceso reciban y qué controles limiten sus acciones.
Qué defensas importan más en la era de los ciberataques con IA
La IA acelera los ataques, pero muchos accesos iniciales siguen explotando problemas conocidos. Por eso las medidas básicas no pierden valor; se vuelven más urgentes.
- Reducir los secretos expuestos: revisar repositorios, aplicaciones, imágenes de contenedores y archivos de configuración; rotar las claves que aparezcan y limitar su alcance.
- Reforzar la identidad: aplicar autenticación resistente al phishing, permisos mínimos, sesiones cortas y alertas ante el registro inesperado de dispositivos o aplicaciones.
- Vigilar el comportamiento, no solo la firma: detectar secuencias anómalas de acceso, exportaciones masivas, movimientos laterales y creación de credenciales, aunque el archivo utilizado cambie.
- Aislar agentes y herramientas: separar entornos, restringir la red, mantener las claves fuera del espacio de ejecución y registrar cada acción con capacidad de interrupción.
- Proteger a proveedores y clientes como una sola cadena: una cuenta comprometida en un servicio pequeño puede abrir la puerta a decenas o cientos de organizaciones.
- Preparar respuestas más rápidas: automatizar la contención de credenciales y sesiones sospechosas, pero mantener revisión humana en decisiones que puedan interrumpir operaciones críticas.
Anthropic publicó además el 31 de agosto una revisión de sus prácticas de aislamiento y monitorización después de incidentes en entornos de evaluación. Entre las medidas descritas están los bloqueos en tiempo real, el aislamiento de red por defecto y la definición explícita de qué acciones y objetivos están dentro o fuera del alcance. Aunque se diseñaron para evaluar modelos avanzados, esos principios también son útiles para empresas que permiten a un agente ejecutar código o manejar sistemas internos.
Qué puede ocurrir en los próximos meses y años
Hecho observado: ya existen operaciones en las que la IA participa en varias fases y se adapta a los resultados. Hipótesis razonable: veremos más herramientas capaces de mantener campañas persistentes con menos supervisión. Predicción, no certeza: la ventaja competitiva podría desplazarse desde quien acumula más scripts hacia quien construye el mejor bucle de observación, decisión y corrección.
También es previsible que los defensores utilicen agentes para cerrar ese mismo bucle: detectar una anomalía, reunir contexto, aislar un activo, rotar una clave y documentar el incidente. El riesgo es delegar demasiado pronto. Un sistema defensivo mal configurado puede bloquear usuarios legítimos, borrar evidencia o ampliar el daño. La autonomía debería crecer por etapas, con permisos limitados, simulaciones, registros completos y puntos claros de aprobación humana.
A más largo plazo, la ciberseguridad se parecerá menos a una sucesión de herramientas estáticas y más a una confrontación entre sistemas que aprenden del comportamiento del contrario. Eso aumentará la importancia de la identidad, la segmentación, la observabilidad y la capacidad de contener acciones en segundos.
Conclusión: la velocidad es el verdadero cambio
El informe de septiembre de 2026 no anuncia el fin del control humano ni prueba que internet esté dominado por atacantes autónomos. Documenta algo más concreto: algunos operadores ya usan agentes para comprimir el tiempo, coordinar tareas y adaptar sus herramientas a una escala que antes exigía equipos mayores.
La lección para empresas y usuarios no es perseguir cada titular sobre IA, sino eliminar los accesos fáciles, limitar lo que puede hacer cada identidad y detectar comportamientos anómalos antes de que una automatización los multiplique. En la nueva seguridad digital, unos minutos de ventaja pueden importar más que una herramienta aislada.