El reloj de arena asimétrico de la seguridad: por qué la inteligencia artificial hoy ayuda a quien ataca

En su último informe anual de defensa digital, publicado el 1 de octubre de 2026, Microsoft dibuja un escenario en el que la inteligencia artificial acelera los tiempos de la ofensiva mucho más deprisa de lo que permite organizar la defensa. La página de presentación en Security Insider la firman Tanmay Ganacharya, CVP Security Research, y Wes Malaby, GM de Microsoft Security; el documento se basa en el análisis declarado de más de 165 billones de señales diarias recogidas entre julio de 2025 y junio de 2026. La tesis central es tajante: la IA comprime los tiempos de acción de los atacantes y reduce a menos de 24 horas el tiempo mediano entre el descubrimiento de una vulnerabilidad y su conversión en una herramienta de ataque operativa. Las organizaciones, en cambio, tardan normalmente entre 30 y 60 días en aplicar los parches a los fallos críticos expuestos al exterior.

Esta asimetría se refleja en la evolución de las técnicas de intrusión. Según Mike Yeh, vicepresidente y asesor jurídico de Microsoft para la seguridad de los clientes, el phishing pasó del 7% de las intrusiones observadas en 2025 al 23% en 2026, y la administración pública se confirma como el sector más atacado, con el 27% de la actividad hostil. El informe describe un paso de los sistemas de asistencia a modelos de IA capaces de dirigir ofensivas de forma autónoma: en una evaluación controlada, según Microsoft, sistemas de IA de frontera completaron ataques de 32 fases. Los detalles de la prueba —qué modelos, en qué condiciones— no los hemos verificado en el informe completo, y sin ellos el alcance real del resultado no puede valorarse desde fuera. Mientras tanto, amenazas más tradicionales pero potenciadas, como los ataques al estilo ClickFix, alcanzaron 1,1 millones de dispositivos únicos entre febrero y mayo de 2026, ocho veces más según Microsoft.

En el plano geopolítico, los datos de la multinacional señalan a Estados Unidos como el territorio más afectado, con el 25,5% de los casos, seguido de Israel y Ucrania. Según BleepingComputer, el informe menciona a actores estatales chinos que usan la IA para investigar vulnerabilidades, actores rusos que emplean herramientas generadas por IA y actores norcoreanos que la utilizan para crear identidades falsas y malware: son atribuciones de Microsoft, no verificadas de forma independiente. Está además el capítulo de los agentes de IA, cuya implantación estimada debería llegar a 1.300 millones de unidades en producción en 2028, y que ya muestran vulnerabilidades: según Microsoft, en diciembre de 2025 una extensión maliciosa del navegador con más de 600.000 instalaciones habría recopilado datos de chats de ChatGPT y DeepSeek de unas diez mil organizaciones. También el recuento de fallos merece una advertencia: las estimaciones de CVE no son del todo coherentes entre las páginas de Microsoft, con casi 40.000 en el primer semestre y un total anual indicado unas veces como «aproximadamente el doble» y otras como unos 72.000. Queda, además, el hecho de que estos datos reflejan exclusivamente la telemetría propia de una empresa que, además de cartografiar las amenazas, comercializa sus propias soluciones de seguridad basadas en la misma tecnología.

Si el tiempo para convertir una vulnerabilidad en arma se mide en horas y el tiempo para cerrarla en semanas, el problema ya no es puramente tecnológico, sino organizativo. Quizá la automatización no esté creando nuevas vulnerabilidades: está midiendo, con una precisión nueva, la lentitud de las estructuras que deberían responder.

— Olya