Publicado: octubre 13, 2026, 9:24 am
En pleno Mes de la Ciberseguridad volveremos a escuchar los consejos habituales: cambiar contraseñas, desconfiar de correos sospechosos, actualizar dispositivos, extremar las precauciones. Conviene seguir haciéndolo, por supuesto. Pero mientras repetimos ese manual básico, la amenaza está cambiando a una velocidad difícil de igualar. La inteligencia artificial ya no solo ayuda a perfeccionar los ciberataques, sino a ejecutar buena parte de ellos.
Hace apenas unas semanas tuvimos una primera advertencia en España. La Agencia Española de Protección de Datos recibió la notificación de una brecha en la que el ataque habría sido ejecutado por un agente de inteligencia artificial. Buscó vulnerabilidades, consiguió entrar y siguió explorando fallos hasta modificar datos personales y acceder a facturas. Un caso no marca una tendencia, pero tampoco deberíamos quitarle importancia: algo que hasta ahora discutíamos como solo una posibilidad ya ha sucedido.
No estamos hablando de una IA que decide atacarnos, ni de máquinas que se vuelven contra sus creadores. Ese relato puede funcionar en la ciencia ficción, pero distrae del problema real. Basta con que alguien marque un objetivo y deje que la tecnología se encargue de una parte creciente del proceso.
La diferencia no es menor. Hasta ahora, utilizar la IA para ciberdelinquir significaba crear phishing más convincente, mejorar una estafa o localizar vulnerabilidades más rápido. Con los agentes de IA aparece otra posibilidad: encargar una tarea a un sistema capaz de decidir cómo abordarla, probar alternativas cuando algo falla y seguir avanzando con mucha menos intervención humana.
Esto elimina una barrera que hasta ahora jugaba a nuestro favor: el tiempo. Atacar una empresa exige estudiar el objetivo, encontrar una vía de entrada, probar, fallar y volver a intentarlo. Si una máquina puede asumir parte de ese trabajo, el mismo atacante puede ejecutar más intentos, contra más empresas y durante más tiempo. Ahí está el verdadero cambio de escala.
No es solo una hipótesis. En 2025, Anthropic detectó una campaña internacional de ciberespionaje contra alrededor de 30 objetivos en la que se utilizó Claude Code. Según la compañía, la IA ejecutó de forma independiente entre el 80 % y el 90 % de las operaciones tácticas, con un porcentaje ínfimo de apoyo humano. El dato importa porque pone dimensión al cambio: la intervención de las personas sigue ahí, pero cada vez puede hacer falta para menos cosas.
Por eso me preocupa que sigamos abordando la ciberseguridad con esquemas pensados para amenazas mucho más lentas. Si un ataque puede buscar, probar y reaccionar de forma automatizada, no podemos confiar nuestra defensa a que una persona vea una alerta a tiempo. Entre que alguien la recibe, la analiza, determina su gravedad y actúa, el ataque puede haber seguido avanzando.
Eso no resta importancia a los profesionales de ciberseguridad. Necesitamos personas que entiendan qué está ocurriendo, que sepan tomar decisiones y que establezcan hasta dónde debe llegar la automatización. Pero también son necesarios sistemas capaces de vigilar continuamente y reaccionar cuando no hay tiempo que perder. Una defensa artesanal no tiene ya nada que hacer frente a un ataque automatizado.
Hay algo más que las empresas deberían asumir: la ciberseguridad ya no es solo un problema del departamento de informática. Si un ataque puede paralizar la actividad, comprometer información sensible o afectar a miles de clientes, estamos hablando de continuidad de negocio, reputación y responsabilidad empresarial, algo que va más allá de IT.
Y eso obliga a prepararse de otra manera. No se trata de comprar la última solución tecnológica y dar el problema por resuelto. Se trata de saber qué información tenemos, dónde está, quién puede acceder a ella y qué haríamos si mañana alguien consiguiera entrar. También de hacerse una pregunta que cada vez será más importante: ¿cuánto tardaríamos en responder?
La propia AEPD ya plantea que los ataques asistidos o ejecutados mediante inteligencia artificial formen parte de los análisis de riesgos de las organizaciones. Tiene sentido. Si cambia la capacidad del atacante, también tiene que cambiar nuestra manera de medir el riesgo y de protegernos.
Este Mes de la Ciberseguridad debería servir, al menos, para dejar atrás una idea: que esto todavía pertenece al futuro. No hace falta imaginar máquinas fuera de control. La amenaza es bastante más mundana: personas que quieren atacar y que disponen de herramientas cada vez más autónomas, rápidas y capaces.
Si ellos empiezan a atacar a velocidad de máquina, nosotros no podemos seguir defendiéndonos únicamente a velocidad humana.
