Análisis de un ataque en la era de la IA

Para los CISO que ya lidian con la seguridad de la información tradicional, la IA supone un quebradero de cabeza completamente nuevo. Ahora, allí donde se introduce la IA o se permite acceder a tecnologías existentes mediante ella —ya sea en una fábrica, un laboratorio o un entorno de oficina— surge una superficie de ataque totalmente nueva, con cero días de antigüedad.

Ya hemos detectado vulnerabilidades en todos los principales modelos de IA, incluidos ChatGPT, Gemini, Llama y DeepSeek-R1. A medida que las organizaciones avanzan en la conexión de agentes de IA con sus sistemas más amplios, los actores maliciosos también progresan en paralelo y exploran la IA como punto de entrada. Si lo consiguen, el alcance de un ataque puede aumentar exponencialmente.

Comprender cómo actúan los atacantes es clave para establecer una postura de seguridad sólida en la era de la IA. Analizar las fases de un ataque ayuda a identificar vulnerabilidades y sienta las bases para reforzar las defensas de forma proactiva y evitar posibles daños.

Se aplican las antiguas «reglas»

Un atacante organizado tendrá un objetivo claro, es decir, aquello que pretende conseguir con su ataque. A continuación, centrará su atención en el ámbito; si el objetivo es perjudicar a un Estado, por ejemplo, los ámbitos pueden ser el sector sanitario, el sistema bancario o el control del tráfico aéreo.

La elección del sector es importante para los actores de amenazas, ya que cada uno cuenta con distintas normas, regulaciones y medidas de seguridad. Los servicios financieros son uno de los sectores más protegidos a nivel mundial, mientras que el sector sanitario ha presentado históricamente carencias en materia de seguridad de la información. Sin embargo, incluso en sistemas bien protegidos, la IA está abriendo nuevas vías de acceso para los atacantes.

Tras la selección del sector, llega la selección de un objetivo concreto. Si el propósito es defraudar a compañías de seguros, hay muchos objetivos entre los que elegir en función de atributos como el tamaño, la ubicación y los estándares de seguridad. Las empresas que alardean de adoptar la IA sin contar con controles de seguridad adecuados para esta tecnología pueden convertirse en objetivos; ser pionero también tiene sus desventajas.

Estudio del objetivo

Una vez identificado el objetivo, el actor de amenazas pasa al reconocimiento: ¿qué activos accesibles pueden ser atacados? La palabra clave es «accesibles». Los activos accesibles suelen ser elementos con los que interactúan las personas, como sitios web, aplicaciones móviles, cajeros automáticos y servidores de acceso público.

Sin embargo, los actores de amenazas van más allá de lo evidente. Una organización puede tener muchos puntos de red que no se utilizan con frecuencia; si uno de ellos se deja activo por accidente, podría aprovecharse para acceder a sistemas críticos. La IA agéntica debe tenerse ahora en cuenta: a medida que la IA se conecta cada vez más con entidades tanto virtuales como físicas, ¿son ahora accesibles activos que antes estaban fuera de alcance?

Para un atacante, el sondeo de vulnerabilidades es la forma más sencilla y eficaz de encontrar una vía de acceso a sus sistemas. Hay muchas formas de hacerlo, y la IA ha abierto nuevas vías, también en la capa de inferencia, donde un modelo de IA se aplica a un caso de uso cotidiano.

Al descubierto: la anatomía de la IA

Aquí es donde la cosa se vuelve técnica. Para sondear una aplicación de IA, en lugar de utilizar la interfaz de chat web, los atacantes recurren a «Ver código fuente» en el sitio web correspondiente. Al hacer clic en la pestaña «Red», pueden ver el punto de conexión al que se envía una conversación cuando se introduce en una aplicación de IA.

El atacante puede aislar ese endpoint desde su terminal de comandos, en lugar de hacerlo a través del sitio web, y obtener la respuesta sin procesar. Esto le permite buscar elementos que no se muestran a través de la ruta del sitio web, como metadatos adicionales que le den pistas sobre cómo proseguir con el ataque.

En este punto, el hacker está avanzando. Si inicialmente identificó seis activos y dos de ellos mostraron metadatos útiles, ya dispone de sus primeras posibles vías de acceso. Los activos menos vulnerables pueden dejarse de lado por ahora, aunque el atacante podría volver a analizarlos más a fondo si sus primeras opciones no dan resultado.

Un arsenal de opciones

Un actor de amenazas serio dispondrá de un arsenal de herramientas que le permitirá intensificar progresivamente el ataque. En pocas palabras, empezará por los ataques más baratos y rápidos, y evitará revelar su mejor baza; ningún gran maestro mostrará su jugada de ajedrez más compleja cuando baste con utilizar un peón.

Las armas de ataque sofisticadas son valiosas, pero, una vez identificadas, es probable que en el futuro se implementen medidas de protección contra ellas y queden obsoletas. Por este motivo, es probable que un atacante vaya alternando sus objetivos entre varios activos mediante métodos de ataque de sofisticación baja o media, en lugar de arriesgar su arma más preciada.

Por supuesto, hay excepciones: si el objetivo es lo bastante valioso, el atacante puede optar por recurrir a sus armas más sofisticadas.

Resultados de los ataques

Un ataque exitoso puede tener uno de estos dos resultados: exfiltrar o insertar. Exfiltrar es el más sencillo de los dos y consiste en extraer del objetivo algo de valor, como dinero, datos financieros o información confidencial de clientes.

Con la IA agéntica, los riesgos aumentan. Cada vez es más habitual que los sistemas de IA agéntica utilicen el Model Context Protocol (MCP), promovido por Anthropic y otras empresas, como estándar abierto para interactuar con aplicaciones como navegadores y herramientas empresariales.

Los navegadores son, por supuesto, la ventana de acceso a todo tipo de servicios, desde sistemas de correo electrónico hasta cuentas bancarias y motores de reservas. Las herramientas empresariales tienen acceso a información confidencial. En este entorno, todo lo que esté conectado a una IA agéntica mediante MCP debe considerarse una nueva superficie de ataque importante.

Los ataques de inserción son más difíciles de llevar a cabo y pueden causar más daños. Piense en la analogía de un robo en su casa: la preocupación inmediata será qué se han llevado, pero ¿qué ocurriría si el intruso hubiera dejado una cámara y pudiera vigilar todos sus movimientos?

En el ámbito digital, la IA agéntica con acceso a navegadores y aplicaciones a través de MCP abre nuevas vías para sofisticados ataques de inserción. Pensemos, por ejemplo, en modificar un endpoint de registro para enviar los registros a un recopilador externo o en cambiar la programación de la seguridad física para desactivarla los fines de semana.

Un actor de amenazas también tendrá en cuenta el movimiento lateral durante un ataque. Una intrusión inicial podría permitir acceder al portátil de un mando intermedio, lo que ofrecería la posibilidad de desplazarse por el sistema y encontrar una vía para escalar privilegios hasta un nivel superior.

El manual del código abierto

Como ocurre con todo lo relacionado con la IA, el entorno de los ataques evoluciona rápidamente. Los creadores de los primeros modelos mantuvieron en secreto su funcionamiento interno, pero el enfoque de código abierto de DeepSeek ha puesto, en la práctica, un manual de su modelo R1 a disposición del público, lo que supone un cambio radical tanto para los desarrolladores como para los actores maliciosos.

Desde su lanzamiento a finales de enero, ya se han creado más de 7.000 derivados de R1, y el origen de muchos de ellos es prácticamente desconocido. Aunque compartir código favorece la innovación, no cabe duda de que los actores maliciosos están analizando el funcionamiento de R1 en busca de formas de atacar los modelos de IA actuales y futuros.
Así es como piensan los actores maliciosos, y quienes formamos parte de la comunidad de la ciberseguridad debemos mantenernos a la altura.

Está claro que unas medidas de seguridad defensivas y ofensivas sólidas —incluidos ejercicios proactivos y continuos de red teaming en modelos y aplicaciones de IA— son esenciales para mitigar los posibles riesgos. Al igual que en el ámbito médico, es preferible la prevención a un análisis post mortem.