IA & Ciberseguridad.

Dónde está cambiando realmente la partida

La mayoría de las promesas de marketing sobre "seguridad con IA" se reducen a una de dos cosas: detección estadística de anomalías que existe desde los 2000 con una etiqueta nueva, o una capa real de modelo de lenguaje que lee, resume y redacta. Esta segunda categoría es lo que cambió de verdad entre 2024 y 2026, y cambió los dos lados de la partida a la vez – por eso la respuesta honesta a "¿está ganando la IA para atacantes o para defensores?" es ninguno todavía.

Cómo la usan de verdad los atacantes

Los casos de uso ofensivo que aparecen en informes reales de incidentes son poco vistosos. Los correos de phishing ya no tienen la gramática rota que antes era una señal fiable: un modelo puede localizar un cebo a un español, francés o alemán fluido en segundos. El reconocimiento previo que a un analista le llevaba un día de OSINT manual (organigramas, relaciones con proveedores, perfiles de LinkedIn de empleados) se puede rastrear y resumir en minutos. La clonación de voz a partir de una muestra de 30 segundos ha abaratado mucho las estafas del tipo "llamada urgente del director general". Nada de esto es una técnica de ataque nueva – es el mismo manual de ingeniería social y phishing de los últimos veinte años, solo que más barato y más convincente de producir.

Lo que no se ha materializado todavía, pese a los titulares, es malware autónomo con IA que descubra y explote vulnerabilidades día cero por sí solo sin un operador humano en el bucle. Toda intrusión documentada "asistida por IA" sigue teniendo a una persona decidiendo qué hacer con lo que produce el modelo.

Cómo la usan de verdad los defensores

En el lado defensivo, el caso de uso de mayor valor no es la detección – es la clasificación de alertas (triage). Un SOC mediano puede generar miles de alertas al día; el analista medio pasa la mayor parte del turno cerrando falsos positivos en vez de investigar los reales. Un modelo que lee una alerta, extrae los registros relevantes y redacta un resumen de un párrafo de lo que probablemente ocurrió recorta ese tiempo de clasificación de forma notable, aunque la decisión final la siga tomando una persona. Los motores de detección que marcan anomalías de comportamiento (una cuenta de servicio que se autentica desde un país nuevo a las 3 de la madrugada) son una mejora real frente a la comparación de firmas estáticas, pero cambian falsos negativos por otro tipo de falsos positivos – y ajustar ese equilibrio sigue siendo un trabajo manual y continuo.

Ataque frente a defensa, lado a lado

Qué significa esto si no llevas un SOC

Para la mayoría de las personas fuera de un equipo de seguridad, la conclusión práctica es más concreta de lo que sugiere el marketing: da por hecho que cualquier mensaje no solicitado – correo, SMS o llamada de voz – que te pida mover dinero, hacer clic en un enlace o "verificar" un inicio de sesión ya no se puede filtrar por el tono o la gramática. Verifica por un segundo canal en el que ya confíes (llama de vuelta a un número que ya conocías, no al que te acaban de dar) en lugar de fiarte de lo pulida que suena la petición.

• Trata la urgencia combinada con una petición de dinero o credenciales como la señal de alarma real – no las faltas de ortografía, que la IA ha borrado casi por completo.
• Si una voz o vídeo "conocido" te pide algo inusual, cuelga y llama de vuelta a un número que ya tenías, no al que te acaban de dar.
• Para equipos: registra cada decisión de detección asistida por IA igual que registrarías una humana – el rastro de auditoría importa más, no menos, en cuanto un modelo entra en el bucle.