Hace unos años, la mayoría asociábamos la «IA generativa» con actividades artísticas: pintar retratos surrealistas, componer música o incluso escribir relatos cortos. Hoy en día, esas mismas técnicas generativas se están convirtiendo en potentes herramientas de ciberseguridad. Resulta un tanto irónico que la tecnología que antes se utilizaba para crear extravagantes imágenes de gatos ahora nos ayude a detectar sofisticados vectores de amenaza y a responder a incidentes reales.
Pero ¿es esta convergencia entre la IA generativa y la ciberseguridad una mera exageración? ¿O estamos a las puertas de una nueva era en el modelado de amenazas y la respuesta a incidentes, una era que podría reducir drásticamente el tiempo medio necesario para detectar y mitigar los ataques? Voy a defender que la IA generativa está llamada a revolucionar tanto la identificación de nuevas amenazas como la coordinación de respuestas eficientes y basadas en datos. Sin embargo, como cualquier tecnología emergente, no está exenta de riesgos. Profundicemos en ello.
Tesis: La capacidad única de la IA generativa para sintetizar patrones, predecir nuevos vectores de ataque y automatizar estrategias de respuesta mejorará significativamente nuestras capacidades de modelado de amenazas y respuesta ante incidentes, pero solo si abordamos de frente los retos relacionados con la fiabilidad, la ética y la gobernanza de los datos.
Las ciberamenazas evolucionan a una velocidad vertiginosa, y los sistemas tradicionales basados en reglas o firmas suelen quedarse atrás. Los modelos generativos (como los modelos de lenguaje de gran tamaño avanzados) pueden detectar anomalías y plantear hipótesis sobre posibles patrones de ataque futuros que van mucho más allá del alcance de la heurística convencional. Sin embargo, también introducen nuevas vulnerabilidades, como la posibilidad de «alucinar» falsos positivos o generar código malicioso de forma involuntaria. Debemos abordar estas capacidades con entusiasmo y cautela a partes iguales.
Modelado de amenazas más allá de las firmas conocidas
¿Por qué usar IA generativa para el modelado de amenazas?
Tradicionalmente, el modelado de amenazas se ha basado en firmas de ataques conocidas, patrones históricos y la experiencia humana. Sin embargo, el auge del malware polimórfico, las vulnerabilidades de la cadena de suministro y los exploits de día cero hace que los métodos puramente reactivos resulten insuficientes.
Aquí entra en juego la IA generativa. Aunque, en la terminología actual, «generativa» suele aludir a los grandes modelos de lenguaje (LLM), también puede incluir otros algoritmos capaces de producir nuevos patrones de datos. Estos modelos detectan correlaciones sutiles en enormes conjuntos de datos de telemetría—como secuencias de comandos sospechosas, intentos de movimiento lateral o patrones de exfiltración—. Cabe destacar que no se limitan a etiquetas explícitas de lo que se considera «malicioso». En su lugar, aprenden la distribución subyacente de los comportamientos «normales» y pueden señalar anomalías que no se hayan catalogado explícitamente como amenazas.
Sin embargo, detectar anomalías es solo el primer paso. Si nadie ha etiquetado determinados comportamientos como maliciosos o benignos, puede que sea necesario combinar un LLM (o cualquier enfoque generativo) con clasificadores adicionales o comprobaciones heurísticas para confirmar si algo es realmente malicioso o simplemente inusual. Por ejemplo, podría plantear la hipótesis de que un nuevo patrón de movimiento lateral es sospechoso, pero algunas organizaciones utilizan legítimamente un servidor de salto al que rara vez se accede, lo que hace que la anomalía sea inofensiva en ese contexto. En última instancia, la IA generativa destaca por sacar a la luz posibilidades que van más allá de las firmas convencionales, pero debe combinarse con una lógica de decisión sólida —ya sea automatizada o dirigida por personas— para determinar qué anomalías representan amenazas reales.
Una prueba en un entorno real: el entorno aislado de F5
En F5, llevamos a cabo una simulación controlada a finales de 2024 para comprobar cómo podría desenvolverse un modelo de IA generativa en un entorno de amenazas en constante evolución. Introdujimos en el entorno interno de pruebas de F5 datos de registro anonimizados procedentes de un entorno multiinquilino e incorporamos deliberadamente patrones de ataque nuevos y nunca vistos. Al principio, el modelo generó algunas «falsas alarmas» (estos modelos pueden pecar de exceso de celo), pero, tras varias iteraciones de entrenamiento, empezó a detectar anomalías con mayor precisión que nuestro sistema de referencia basado en firmas. ¿Lo realmente impresionante? También identificó exploits potenciales que ni siquiera nuestros analistas del equipo azul habían contemplado, como ciertos intentos de movimiento lateral camuflados bajo protocolos habituales de intercambio de archivos.
Reducir el «tiempo medio de corrección»
Guías de respuesta adaptativa
Los modelos generativos no solo sirven para la detección: cuando se produce un incidente, pueden generar rápidamente guías de actuación recomendadas. Piense en ellos como un colaborador de IA que supervisa los registros en tiempo real, combina información de múltiples fuentes de datos y propone un plan de respuesta coordinado.
Por ejemplo, si el sistema detecta una anomalía de alto riesgo, puede recomendar políticas dinámicas de cortafuegos o poner en cuarentena máquinas virtuales (VM) sospechosas. Como aprende de incidentes anteriores, estas sugerencias se perfeccionan con el tiempo. Esto supone un gran avance respecto a los procedimientos estáticos, que rara vez se actualizan tras su configuración inicial.
Orquestación de herramientas a gran escala
Recientemente hemos asistido a una oleada de integraciones de IA generativa en importantes conferencias de seguridad (como Black Hat 2024 y la cumbre AI-SecOps Summit, inaugurada este año). Estas integraciones se centran en respuestas «autónomas» o «agénticas», en las que una capa de IA coordina en tiempo real varias herramientas de seguridad —SIEM, protección de endpoints y WAF—. Si hoy en día los entornos multicloud son la norma, resulta muy atractivo contar con un único modelo generativo que coordine las respuestas ante amenazas en AWS, Azure y entornos locales.
Pero aquí está el problema: Si nos limitamos a automatizar procesos obsoletos o ineficientes, corremos el riesgo de «fracasar más rápido» en lugar de mejorar nuestra postura general de seguridad. Al adoptar la IA sin replantearnos los flujos de trabajo fundamentales, podríamos acelerar la ejecución de procedimientos defectuosos. Por eso, la IA debe considerarse un catalizador para replantear nuestro enfoque de la seguridad y la entrega, en lugar de limitarse a acelerar lo que ya hacemos.
También cabe señalar que el hecho de que un modelo generativo pueda automatizar una respuesta no significa que deba hacerlo. Necesitamos mecanismos de protección y vías de escalado para garantizar que las personas sigan interviniendo en las decisiones críticas (como aislar segmentos enteros de producción). En resumen, la IA generativa ofrece una oportunidad apasionante para cuestionar viejas suposiciones y diseñar marcos de respuesta ante incidentes más eficientes y adaptativos, siempre que estemos dispuestos a actualizar los propios fundamentos de nuestros procesos, no solo a aumentar su velocidad.
Tendencias actuales en 2025
- Continúa la guerra de los LLM: Los principales proveedores de servicios en la nube compiten por lanzar el modelo de lenguaje de gran tamaño (LLM) más «seguro», y cada uno afirma contar con un ajuste fino avanzado para reducir las alucinaciones y mejorar el cumplimiento normativo.
- Proyectos de código abierto: Están surgiendo iniciativas impulsadas por la comunidad (como AI-SIGS o ThreatGen), que ofrecen a los investigadores de seguridad marcos de código abierto para crear modelos generativos de amenazas personalizados.
- Foco regulatorio: Las nuevas propuestas de regulación de la IA de la UE clasifican las aplicaciones de ciberseguridad generativa como tecnología de «alto riesgo», lo que exige transparencia y una procedencia explícita de los datos.
Es un momento apasionante: observamos una mayor adopción por parte de grandes empresas y compañías medianas deseosas de superar las soluciones heredadas. Sin embargo, las prisas por implantar la IA generativa pueden generar problemas si las organizaciones se saltan pasos fundamentales como una gobernanza de datos sólida, la explicabilidad de los modelos y los marcos de rendición de cuentas.
Alucinaciones, privacidad y dilemas éticos
Aunque los modelos generativos pueden deslumbrar con sus inferencias creativas, también pueden «alucinar» amenazas que parecen plausibles, pero que no existen. Una oleada de falsos positivos podría sepultar a tu equipo de operaciones de seguridad bajo una avalancha de alertas irrelevantes. Con el tiempo, esto puede minar la confianza en los sistemas basados en IA.
Entrenar modelos robustos requiere datos, muchos datos. Dependiendo de la región, las leyes de privacidad pueden restringir qué registros o datos de telemetría se pueden utilizar. Depurar o anonimizar los datos confidenciales de los usuarios es esencial para evitar problemas de cumplimiento normativo y garantizar un uso ético de los datos.
No podemos ignorar la otra cara, más oscura: los actores maliciosos pueden utilizar (y ya han utilizado) la IA generativa para redactar correos electrónicos de phishing convincentes, desarrollar nuevas formas de malware o descubrir vulnerabilidades de día cero con mayor rapidez. A medida que desarrollamos estas capacidades defensivas, debemos asumir que los atacantes están haciendo lo mismo con fines ofensivos.
Abrazando el futuro
De cara al futuro, la IA generativa podría convertirse en una capa estándar de todas las herramientas de SecOps, con un nivel de integración similar al que tienen hoy los escáneres de vulnerabilidades o los sistemas de detección de intrusiones. A medida que mejore la explicabilidad —es decir, que haya más transparencia sobre cómo llega la IA a sus conclusiones—, los equipos de seguridad se sentirán más seguros a la hora de dejar que la IA se encargue de una mayor parte del ciclo de vida del modelado de amenazas.
También podríamos ver coaliciones mundiales de inteligencia sobre amenazas, en las que modelos generativos entrenados en distintas organizaciones compartan información parcial sin comprometer la privacidad. Esto podría dar lugar a respuestas más rápidas y coordinadas frente a ataques de día cero en distintos sectores.
Aun así, conviene reiterar que todavía estamos en una fase inicial. Antes de confiar en la IA generativa en situaciones críticas, las organizaciones deben invertir en buenas prácticas de gestión de datos, procesos de entrenamiento sólidos y una gobernanza bien definida.
¿Listo para replantearte la seguridad?
La IA generativa tiene el potencial de transformar radicalmente los enfoques tradicionales del modelado de amenazas y la respuesta a incidentes. Al analizar patrones de forma creativa y automatizar las estrategias de respuesta, puede ofrecer una velocidad y una precisión sin precedentes, siempre que abordemos desafíos inherentes como las alucinaciones, el cumplimiento normativo y las salvaguardas éticas.
Sobre el autor
Artículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.