Es cierto que, en los últimos dos años, los ciberdelincuentes parecen haber ido un paso por delante en la carrera por la inteligencia artificial, utilizando grandes modelos de lenguaje y chatbots en una avalancha de ataques de tipo « », phishing y otros ciberataques; sin embargo, según los expertos, esa ventaja podría estar tambaleándose, ya que dichos grupos se enfrentan cada vez más a herramientas de ciberseguridad basadas en la inteligencia artificial capaces de detectar —y frustrar— este tipo de amenazas.
Gracias a su rapidez y capacidad para identificar patrones en grandes cantidades de datos, la inteligencia artificial destaca especialmente en la detección de fraudes y en la búsqueda de vulnerabilidades en los sistemas. Esto debería suponer un alivio para quienes han estado siguiendo de cerca las actividades de las bandas cibernéticas impulsadas por la inteligencia artificial.
Entre los usos recientes de la inteligencia artificial por parte de los estafadores se incluyen:
- La semana pasada, en la Conferencia de Ciberseguridad de Múnich, las autoridades ucranianas advirtieron de que los piratas informáticos rusos están utilizando modelos de aprendizaje automático para examinar grandes cantidades de contenido sustraído de buzones de correo infiltrados y, a continuación, recurren a la inteligencia artificial para diseñar campañas de phishing más creíbles y personalizadas.
- El mes pasado, Google anunció que había identificado 57 grupos maliciosos vinculados a Rusia, China, Irán y Corea del Norte que utilizaban su chatbot Gemini para llevar a cabo operaciones de reconocimiento sobre expertos en defensa, resolver problemas de código y encontrar nuevas formas de infiltrarse profundamente en las redes objetivo, empleando técnicas como la evasión de la detección y la exfiltración de datos.
- Las bandas cibernéticas también han creado sus propios modelos de lenguaje a gran escala , como WormGPT, FraudGPT y GhostGPT, para generar oleadas de nuevo malware y estafas de phishing.
A continuación se explica cómo están respondiendo algunas organizaciones:
- Mastercard utilizó la inteligencia artificial para analizar los datos de pago de nueve bancos asociados, lo que permitió ahorrar más de 35 000 millones de dólares en pagos fraudulentos a lo largo de tres años.
- Amazon, que registra hasta 750 millones de ciberataques al día, recopila todos los datos sobre dichos incidentes en una base de datos. A continuación, utiliza el aprendizaje automático para analizar exhaustivamente todos los datos relacionados con dichos incidentes e identificar aquellos que deberían suscitar mayor preocupación. Incluso aplica análisis predictivo basado en inteligencia artificial a estos datos para predecir qué amenazas cobrarán mayor importancia en el futuro.
- La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) utiliza la inteligencia artificial para detectar y analizar automáticamente posibles amenazas a las redes del Gobierno de los Estados Unidos, señalar actividades inusuales e identificar patrones en grandes cantidades de datos.
- Europol también está utilizando la inteligencia artificial para tareas repetitivas, lo que permite a los analistas humanos disponer de más tiempo para otras labores y evita su sobreexposición a material «espeluznante».
A medida que este campo evoluciona gracias a las nuevas capacidades de la IA generativa, también ofrece la posibilidad de plasmar sus hallazgos en resultados fácilmente comprensibles. Esto podría significar sintetizar una abrumadora variedad de indicadores en un sencillo resumen textual que resultara más comprensible para los analistas de seguridad, que suelen estar muy ocupados. Además, podría interactuar con dichos analistas, respondiendo a preguntas formuladas en lenguaje natural sobre sus conclusiones de una manera fluida e intuitiva.
Estas nuevas capacidades ofrecen a todo tipo de organizaciones un aumento del rendimiento en la lucha contra los intrusos digitales, afirma Mary Carmichael, miembro del Grupo de Trabajo sobre Tendencias Emergentes de ISACA y presidenta de la delegación de ISACA en Vancouver. «El aprendizaje automático tradicional [un tipo de IA] ha tenido bastante éxito en varios ámbitos de la ciberseguridad, ya que ofrece mejoras con respecto a los antiguos sistemas basados en reglas».
A continuación, describimos los principales casos de uso en los que la inteligencia artificial y el aprendizaje automático se muestran más prometedores.
Detección: por qué las redes neuronales destacan en este ámbito
Carmichael señala que la detección es un ámbito en el que el aprendizaje automático ha dado buenos resultados. Algunos modelos identifican el malware mediante el análisis de patrones en los datos, mientras que otros se centran en utilizarlo para supervisar el comportamiento de la red comparándolo con un nivel de referencia de actividad normal. Cuando un comportamiento se desvía lo suficiente de la norma, se activa una alerta.
«. El aprendizaje automático tradicional ha tenido bastante éxito en varias áreas de la ciberseguridad, ofreciendo mejoras con respecto a los antiguos sistemas basados en reglas.»Mary Carmichael, miembro del Grupo de Trabajo sobre Tendencias Emergentes de ISACA
Ese comportamiento podría deberse a que un ordenador está descargando demasiados archivos desde una dirección IP desconocida a una hora inusual del día. Otro factor desencadenante podría ser la recepción de un correo electrónico dirigido a una persona de la empresa con acceso a cuentas financieras, pero que presente características sospechosas que un administrador humano podría pasar por alto, como una redacción extraña o un remitente desconocido.
Ese tipo de seguimiento y análisis estadístico requiere examinar minuciosamente grandes cantidades de datos procedentes de diversas fuentes y, a menudo, en tiempo real. Es algo que podría hacer una persona, pero se necesitarían miles de ellas, analizando sin descanso múltiples sucesos relacionados en su infraestructura informática. No es realista.
Las redes neuronales en las que se basa el aprendizaje automático destacan precisamente en eso, explica Carmichael.
Mientras que el software tradicional procesa los pasos individuales de forma secuencial, las redes neuronales transmiten grandes volúmenes de datos complejos entre múltiples capas de neuronas. Empiezan por utilizar datos ya existentes que los operadores han clasificado, por ejemplo, como legítimos o maliciosos. La red se entrena leyendo estos datos etiquetados para formarse una idea de lo que es legítimo y lo que no lo es.
[Lea también: Guía definitiva sobre ciberseguridad basada en la IA: ventajas, riesgos y beneficios]
A continuación, la red neuronal entrenada utiliza este conocimiento para evaluar nuevos datos, en un proceso conocido como «inferencia». Constituye la base de una amplia variedad de tareas de aprendizaje automático, desde la comparación de imágenes mediante visión artificial hasta la detección de actividades maliciosas en una red, pasando por la clasificación del correo basura y el correo legítimo, o el reconocimiento de transacciones financieras fraudulentas.
Modelización de amenazas: cómo el aprendizaje automático se adapta a cada sector
El aprendizaje automático no solo ayuda a detectar amenazas, sino que también permite comprender las amenazas concretas a las que se enfrenta una organización, explica James Stanger, evangelista jefe de tecnología de CompTIA. Un banco que gestione numerosos sistemas administrativos, por ejemplo, se enfrentará a tipos específicos de ataques por parte de determinados grupos que tienen como objetivo ese sector. Dichos grupos utilizarán técnicas diseñadas específicamente para aprovechar las vulnerabilidades de la infraestructura de un banco, que difieren, por ejemplo, del tipo de ataques que otros grupos lanzarían contra una empresa del sector del petróleo y el gas.
«[El uso de la IA para] la recopilación y el análisis de registros permite acortar los tiempos de respuesta.»Curtis W. Dukes, vicepresidente ejecutivo y director general de buenas prácticas de seguridad del Centro para la Seguridad en Internet
Del mismo modo que su formación en seguridad para empleados debe adaptarse al sector y a la empresa en cuestión, también debe hacerlo su modelización de amenazas. Aquí no hay lugar para soluciones únicas válidas para todos.
La modelización de amenazas es el proceso de elaborar un marco de amenazas contra una organización, que puede utilizarse para analizar el riesgo y establecer prioridades en las inversiones en ciberseguridad. Dicho proceso, que implica el análisis de grandes cantidades de datos de , de la búsqueda de amenazas y de otras fuentes, resulta esencial para cualquier programa de ciberseguridad. Además, es lento y caro.
«En las últimas dos décadas, hemos logrado crear modelos de amenazas y ataques relevantes y precisos, pero el proceso de elaboración de dichos modelos ha sido, en su mayor parte, un proceso manual», afirma Stanger. La capacidad de la IA para procesar grandes cantidades de datos e identificar patrones la convierte en un recurso muy valioso en este ámbito. «Si se lleva a cabo correctamente, será una novedad muy positiva», añade.
Automatización: es mucho más que simple rapidez
El Instituto para la Seguridad y la Tecnología (IST), un centro de estudios dedicado a combinar la tecnología y las políticas para hacer frente a los nuevos retos en materia de seguridad, identificó recientemente el potencial de la inteligencia artificial para mejorar las operaciones de ciberseguridad en un informe titulado « » ( ), publicado el pasado mes de octubre. Según se indica, la automatización de tareas sencillas, como el análisis del tráfico de red y la clasificación de archivos, puede ayudar a que los administradores de seguridad dispongan de más tiempo libre.
«. Los recientes avances en la tecnología de la inteligencia artificial ofrecen la posibilidad de alterar drásticamente el equilibrio entre ataque y defensa al aprovechar la ventaja de jugar en casa.»Las implicaciones de la inteligencia artificial en la ciberseguridad: el cambio en el equilibrio entre ataque y defensa, Instituto de Seguridad y Tecnología (octubre de 2024)
«[El uso de la IA para] la recopilación y el análisis de registros permite acortar el tiempo de respuesta», coincide Curtis W. Dukes, vicepresidente ejecutivo y director general de buenas prácticas de seguridad del Center for Internet Security. Como director de seguridad de la información de la Agencia de Seguridad Nacional, se dedicó durante años a gestionar sistemas sensibles y es consciente de la importancia de obtener información rápidamente a partir de la telemetría de los sistemas.
Además del ahorro de tiempo, las herramientas de inteligencia artificial pueden facilitar una comprensión más precisa del entorno de red. «Los recientes avances en la tecnología de la inteligencia artificial ofrecen la posibilidad de alterar drásticamente el equilibrio entre ataque y defensa al aprovechar la ventaja de jugar en casa», afirma el informe del IST.
[Véase también: Orquestación y automatización a gran escala fáciles de implementar]
Al automatizar los inventarios y las auditorías de red, así como otras tareas clave como la gestión de parches o la erradicación de la «TI en la sombra», los responsables de la seguridad obtendrán un conocimiento de su red desde dentro mucho más profundo del que cualquier atacante pueda alcanzar desde fuera. Ese tipo de conocimientos y comprensión no harán sino mejorar las decisiones futuras a medida que evolucionen las amenazas y las tecnologías relacionadas con ellas.
Gestión de vulnerabilidades: solo una de las muchas formas en las que la IA generativa está cambiando las reglas del juego
El auge de la IA general promete aún más mejoras. Esta tecnología, representada por los modelos base que impulsan chatbots como , ChatGPT y Claude, se basa en los grandes modelos de lenguaje (LLM). Se basan en redes neuronales, pero utilizan nuevos algoritmos diseñados para procesar grandes cantidades de texto. Son más capaces de analizar contenidos creativos, incluyendo texto, así como audio, vídeo e incluso código fuente de programas. A partir de ahí, pueden crear nuevos contenidos basados en esta información.
[Véase también: ¿En qué consiste la gestión de vulnerabilidades de los dispositivos?]
Los modelos de lenguaje a gran escala (LLM) tienen profundas implicaciones para la ciberseguridad, especialmente en lo que respecta a la gestión de vulnerabilidades. El informe del IST destaca la posibilidad de detectar algunos de los fallos que los ciberdelincuentes aprovechan en los programas informáticos. En la conferencia de ciberseguridad DEFCON August 2024 , celebrada en Las Vegas, los semifinalistas del «AI Cyber Challenge» de la DARPA demostraron su potencial: utilizaron modelos de lenguaje grande (LLM) para detectar 22 vulnerabilidades en el código fuente y corrigieron automáticamente 15 de ellas. Por otra parte, el equipo de seguridad Project Zero de Google utilizó la inteligencia artificial para mejorar el «fuzzing», un proceso que inunda un sistema objetivo con datos de entrada con el fin de encontrar uno que lo ponga en peligro. ha descubierto un «zero-day» utilizando este método, en lo que, según afirma, constituye una primicia mundial.
Éxitos del SOC: los asistentes de IA ahorran tiempo, eliminan el ruido y le informan con total claridad
Estos sistemas también pueden contribuir a liberar de trabajo al personal de primer nivel del centro de operaciones de seguridad (SOC) de mediante la creación de flujos de trabajo más sofisticados, afirma Dominik Penner, ingeniero principal de seguridad de la empresa de consultoría en ciberseguridad Mand Consulting, con sede en Toronto.
«La mayoría de las organizaciones interesadas en implementar la IA en un SOC la utilizarán para la clasificación de incidencias.»Jennifer Tang, colaboradora en materia de ciberseguridad y tecnologías emergentes en el IST
«El registro y la supervisión no son tan complicados, pero en cuanto hay que empezar a relacionarlos con los ataques, se requiere un análisis un poco más exhaustivo», afirma. «Hay mucho ruido». «Analizar toda esa información y extraer datos y conclusiones útiles acaba siendo la parte más difícil».
El aprendizaje automático destaca por su capacidad para analizar datos, clasificarlos e identificar anomalías. «Los modelos de lenguaje a gran escala (LLM) ofrecen, por tanto, a los analistas del SOC una forma más sofisticada de consultar esos datos», afirma Jennifer Tang, colaboradora en materia de ciberseguridad y tecnologías emergentes en el IST y coautora del informe.«Creo que la mayoría de las organizaciones interesadas en implementar la inteligencia artificial en un SOC la utilizarán para la clasificación de incidencias», afirma. «[Los modelos de lenguaje a gran escala (LLM) pueden] proporcionar a las organizaciones evaluaciones sobre el significado de las alertas y las medidas que deben adoptarse, utilizando lenguaje natural».
Ese tipo de comunicación directa resulta especialmente importante en una situación en la que el tiempo es un factor crucial, como un ciberataque, en la que la comunicación es fundamental y es necesario coordinar rápidamente las acciones de diversos departamentos (desde el de TI hasta el de redes sociales) por parte de distintos empleados con una amplia variedad de conocimientos en materia de seguridad.
Estas capacidades están dando lugar a la creación de asistentes de inteligencia artificial diseñados específicamente para las operaciones de ciberseguridad. Carmichael destaca su capacidad para ir más allá de la clasificación de incidencias y recomendar medidas correctoras a los operadores de los SOC.
Una visión realista: por qué sigue siendo importante que las personas sigan estando al tanto de todo
El siguiente paso lógico en esta línea es algo que IST destacó en su informe: agentes autónomos que no solo recomienden medidas correctivas para los incidentes cibernéticos, sino que también las ejecuten automáticamente.
«La IA presta apoyo a los analistas con menos experiencia ofreciéndoles orientación y recomendaciones, lo que contribuye a mejorar las competencias de la plantilla y a potenciar el rendimiento general del equipo.»Mary Carmichael, de ISACA
Imagine a un copiloto en el asiento del acompañante que se inclina y toma el volante; pero, en lugar de girar a la izquierda en el siguiente cruce, podría poner en cuarentena un segmento de la red, reducir los permisos de acceso de un empleado en el directorio corporativo o actualizar una regla del cortafuegos para bloquear un conjunto concreto de direcciones IP.
Quizá eso sea ir demasiado lejos para las organizaciones que aún están tanteando el terreno con la inteligencia artificial. «Lo que siempre nos ha frenado es el miedo de las organizaciones a lo desconocido», afirma Dukes. «No desean automatizar determinados procesos».
Y no pasa nada. La automatización variará (y debería variar) de una empresa a otra. A pesar de los temores generalizados, los observadores del sector consideran que hay al menos cinco ámbitos clave en las operaciones de seguridad en los que las personas seguirán siendo el activo fundamental.
Tang prevé que puedan surgir algunos problemas de gobernanza a medida que las empresas se planteen ceder un mayor control a los agentes autónomos de IA. «Creo que va a haber un problema en cuanto a la explicabilidad, el cumplimiento normativo y la atribución de la responsabilidad», afirma. Un sistema automatizado que lleva a cabo una acción debería explicar su razonamiento, pero es bien sabido que los sistemas de inteligencia artificial tienen grandes dificultades para explicar cómo han llegado a una decisión.
La mayoría de las organizaciones preferirán contar con un cierto grado de supervisión humana en lugar de permitir que la inteligencia artificial automatice todas las medidas de ciberseguridad. Gartner recomienda « », una solución de inteligencia artificial que permite a cualquier organización ajustar el nivel de automatización en función de su tolerancia al riesgo.
Aunque la Sra. Tang afirma que los miembros de los consejos de administración de algunas empresas han venido reclamando un «SOC en una caja» que utilice capacidades de detección y automatización de extremo a extremo, no cree que el sector haya llegado aún a ese punto. Muchas de las organizaciones con las que ha hablado se han comprometido a mantener siempre a una persona al tanto de lo que ocurre, e incluso exigen la implantación de mecanismos de retroalimentación para verificar constantemente los resultados de la IA. Por consiguiente, considera que el futuro —al menos por el momento— se centrará en la ciberseguridad asistida por la inteligencia artificial, más que en la gestionada por ella.
Los asistentes de IA que se limitan a recomendar, en lugar de ejecutar, siguen ofreciendo una rentabilidad de la inversión. «La inteligencia artificial presta apoyo a los analistas con menos experiencia ofreciéndoles orientación y recomendaciones, lo que contribuye a la mejora de las competencias de la plantilla y al rendimiento general del equipo», afirma Carmichael, de ISACA. Ante una tecnología tan dinámica y disruptiva como la inteligencia artificial, es posible que las empresas prefieran dar pasos lentos y cautelosos antes de lanzarse a una carrera a toda velocidad.
