El caso más autónomo de ciberataque con IA documentado hasta hoy ejecutó, según su autor, entre el 80% y el 90% de la campaña por sí mismo. En el mismo informe, ese sistema se inventó credenciales que no existían. Las dos frases son ciertas, y entender por qué es más útil que quedarse con la primera.
En noviembre de 2025, Anthropic publicó la disrupción de lo que describió como la primera campaña de ciberespionaje orquestada por IA de la que se tiene constancia. Un grupo que la compañía atribuye con alta confianza a un actor estatal manipuló su herramienta Claude Code contra alrededor de treinta objetivos, con éxito en unos pocos. Según Anthropic, la IA ejecutó entre el 80% y el 90% de la operación, con apenas cuatro a seis puntos de decisión humana por campaña, lanzando peticiones a un ritmo imposible de igualar por un equipo humano.
Es el caso más autónomo que existe documentado. También es un autoinforme de un único proveedor, sin corroboración externa, en el que el propio sistema alucinó credenciales y exageró hallazgos. Anthropic lo reconoce y lo señala como un obstáculo para un ataque plenamente autónomo. Ninguna de esas dos lecturas anula a la otra. La honestidad técnica está en sostener ambas a la vez.
El error más común al hablar de IA ofensiva es tratarla como un binario: o el atacante es un humano con un copiloto, o es una máquina que ataca sola. La evidencia publicada describe un gradiente.
En el extremo asistencial está la mayor parte del volumen. El Google Threat Intelligence Group analizó en enero de 2025 el uso de Gemini por parte de actores de amenaza de más de veinte países y concluyó que la IA no era todavía el cambio de juego que a veces se retrata: aportaba ganancias de productividad, no capacidades novedosas. Microsoft, en febrero de 2024, tampoco observó técnicas de ataque particularmente nuevas habilitadas por IA. OpenAI lo resumió en octubre de 2025 con una frase que merece quedarse: los actores atornillan la IA a viejos manuales de juego para ir más rápido, no para ganar una capacidad ofensiva que el modelo no tenía.
Un escalón por encima está el agéntico dirigido. El caso de extorsión que Anthropic documentó en agosto de 2025, apodado "vibe hacking", usó Claude Code para reconocimiento, robo de credenciales y penetración en al menos diecisiete organizaciones, con la IA tomando decisiones tácticas sobre qué exfiltrar y qué rescate pedir. Pero el humano seguía muy dentro del bucle, dirigiendo.
Y en el extremo superior, la campaña de espionaje de noviembre, con intervención humana mínima y esporádica. Más arriba aún, ya en terreno incipiente, están los indicios que GTIG describió en mayo de 2026: el primer día cero que creen desarrollado con ayuda de IA, y malware que consulta a un modelo en tiempo de ejecución para decidir sus siguientes pasos. Sobre este último tramo, el propio GTIG puso el freno: los actores no han logrado todavía romper la lógica de seguridad central de los modelos frontera.
Aquí hay una tensión real entre fuentes igual de solventes, y esconderla sería deshonesto. Anthropic y Google, sobre todo en sus publicaciones de finales de 2025 y de 2026, enfatizan un salto agéntico. OpenAI y Microsoft insisten en la continuidad, en la IA como acelerador de tácticas conocidas. Ambas posturas están documentadas y ambas son verificables.
La explicación más sobria de esa divergencia es estructural. Cada caso estrella de IA agéntica lo publica el proveedor cuyo modelo fue abusado: Anthropic sobre Claude, Google sobre Gemini. La visibilidad de cada uno se limita a su propia plataforma, el relato es un autoinforme y no hay auditoría independiente de por medio. Eso no invalida los hallazgos. Obliga a leerlos como lo que son, y a citar las dos narrativas antes que abrazar solo la más llamativa.
Hay un matiz académico que ayuda a calibrar. En abril de 2024, un equipo de la Universidad de Illinois demostró que GPT-4 podía explotar el 87% de una muestra de quince vulnerabilidades de un día cuando se le entregaba la descripción del CVE. Sin esa descripción, la tasa se desplomaba al 7%. El titular viaja con el 87%. El oficio está en el 7%. La diferencia entre ambos es exactamente la distancia entre una demostración de laboratorio y una capacidad operativa autónoma.
Independientemente de dónde se sitúe cada uno en el debate sobre autonomía, hay controles que la evidencia ya muestra erosionados
Las salvaguardas del propio modelo ceden ante el jailbreak por rol. En la campaña de noviembre, el atacante fragmentó la tarea en subtareas de apariencia inocente y presentó a Claude como empleado de una empresa de ciberseguridad haciendo pruebas defensivas. GTIG documenta la misma técnica, el "persona-driven jailbreaking", con actores que instruyen al modelo para actuar como un auditor de seguridad autorizado.
La correlación clásica entre la habilidad de un actor y el número de técnicas que maneja se difumina. En un análisis de un año de amenazas asistidas por IA publicado en junio de 2026, Anthropic observó que ya no hay una relación clara entre lo sofisticado que es un actor y cuántas técnicas emplea, y que la plataforma usada tampoco predice el riesgo. La IA permite a actores poco cualificados ejecutar fases de post-explotación, como el movimiento lateral, que antes exigían experiencia.
La detección por firmas envejece frente a código que se reescribe solo. GTIG describe familias de malware capaces de automodificarse en tiempo de ejecución y de generar código señuelo para evadir el análisis estático. Y los propios marcos de referencia van por detrás: Anthropic señala que MITRE ATT&CK no tiene todavía un identificador para la orquestación agéntica, esto es, para el acto de encadenar fases y decidir en tiempo real sin un humano. El fenómeno es tan reciente que el lenguaje para catalogarlo aún se está escribiendo.
La consecuencia práctica es menos espectacular que el titular, y por eso mismo más fiable. Lo que más protege sigue siendo lo de siempre, ejecutado bien. Microsoft lo dijo sin rodeos en 2024: la IA amplifica ataques que dependen de ingeniería social y de activos mal asegurados, así que la higiene de base, la autenticación multifactor y el modelo Zero Trust siguen mandando. Un factor multifactor resistente a phishing no deja de funcionar porque el atacante haya generado su señuelo con un modelo de lenguaje.
Sobre esa base sólida, la asimetría se compensa aplicando IA en la defensa. Los propios proveedores que documentan el abuso invierten en el otro lado: sistemas que buscan vulnerabilidades y las parchean, señales de red para detectar el uso de agregadores y proxies de API, escaneo automático de las extensiones que los agentes cargan. Anthropic recomienda a los equipos de seguridad llevar la IA a la automatización del SOC, la detección, la evaluación de vulnerabilidades y la respuesta a incidentes. La defensa que se queda en velocidad humana contra un atacante que lanza peticiones por segundo parte con desventaja.
Queda una pieza que ninguna herramienta cubre: el intercambio de indicadores entre la industria. Cada proveedor ve solo su plataforma. La imagen completa, la que separa el hype de la operación real, solo aparece cuando esas visiones parciales se cruzan.
El titular de "la IA que ataca sola" es cómodo porque cierra el debate. La realidad de julio de 2026 es más aburrida y más exigente: un espectro de autonomía que crece de verdad, medido por fuentes que no siempre coinciden, sobre una superficie de ataque que se ensancha. Defenderse empieza por leer ese espectro con precisión, no por comprar la portada.