La Inteligencia Artificial ha pasado de ser una tendencia emergente a consolidarse como un pilar fundamental en las tácticas de los cibercriminales. Así lo señala el Informe Threat Hunting 2026 de CrowdStrike, que analiza cómo los atacantes emplean la IA para explotar vulnerabilidades en cuestión de horas, vulnerar entornos empresariales y escalar agresiones contra las cadenas de suministro de software.
La tecnología actúa en este escenario como herramienta, objetivo y multiplicador de fuerza. A medida que las organizaciones integran la IA en sus procesos, los ciberdelincuentes dirigen sus ofensivas hacia la infraestructura de IA, abusan de los grandes modelos de lenguaje empresariales y rastrean las cargas de trabajo hasta la nube. Este cambio operativo acelera el ritmo de los ataques, incrementa su escala y enfoca la amenaza directamente en los sistemas automatizados de los que dependen las empresas.
Velocidad de reacción
Dentro de este panorama, la velocidad de reacción de los atacantes marca un hito. Durante el primer semestre de 2026, la gran mayoría de las vulnerabilidades asociadas a la publicación de pruebas de concepto se explotaron en las primeras 48 horas. Grupos específicos vinculados a China, como VAULT PANDA y GENESIS PANDA, redujeron ese margen a menos de 24 horas tras la divulgación de los fallos.
El ecosistema de IA también ha pasado a ser un frente prioritario dentro de la cadena de suministro de software. Un ejemplo destacado es la actividad del actor vinculado a Corea del Norte STARDUST CHOLLIMA, que introdujo código malicioso en más de un centenar de frameworks de IA de confianza a través del registro npm, un canal donde se concentró casi el 90 % de las amenazas detectadas en repositorios de software en la primera mitad del año. En paralelo, actores de eCrime como ALTERED SPIDER llegaron a comprometer más de 300 dependencias de software en una sola jornada para obtener credenciales de acceso a entornos cloud.
Por otro lado, el uso activo de la IA por parte de los atacantes abarca la generación de payloads y comandos shell, así como el envío masivo de peticiones a modelos de IA en plazos de tiempo mínimos. El volumen de alertas generadas por agentes de IA creció a un ritmo significativamente mayor que el de las originadas por analistas humanos, lo que incrementa la presión sobre las unidades de ciberseguridad.
Asimismo, la migración de operaciones hacia la nube ha provocado un repunte superior al 170% en las actividades delictivas orientadas a estos entornos, impulsadas por el robo de credenciales, la criptominería y el abuso de LLM. En este contexto, los mecanismos de autenticación tradicionales sufren un desgaste notable: las intrusiones mediante vishing se duplicaron en los primeros seis meses del año y los intentos mensuales de device code phishing se multiplicaron por 15. Grupos como CORDIAL SPIDER y SNARKY SPIDER centraron sus esfuerzos en comprometer aplicaciones SaaS integradas con sistemas de inicio de sesión único, logrando en algunos casos extraer información sensible en menos de cinco minutos tras el secuestro de una cuenta.
