Jimmy Rosario Bernard
Rector del ITLA
El día que el ciberataque autónomo se volvió realidad ya pasó y apenas nos dimos cuenta. No fue por una máquina que cobró conciencia y decidió atacar, como en las películas. La realidad es que ya existen sistemas de IA capaces de ejecutar la mayor parte de un ciberataque de manera autónoma, algo que hace dos años parecía imposible.
En septiembre de 2025, Anthropic descubrió una campaña de ciberespionaje que atribuyó, con alta probabilidad, a un grupo respaldado por el Gobierno chino. Utilizaron Claude Code contra unas 30 organizaciones. Según Anthropic, la IA se encargó del 80 % al 90 % del trabajo técnico: desde la identificación y búsqueda de vulnerabilidades hasta la generación de exploits, el robo de credenciales, el movimiento lateral dentro de las redes y el análisis de los datos robados. Las decisiones estratégicas aún las tomaban los humanos.
Es importante notar que Anthropic solo confirmó un número reducido de intrusiones exitosas, lo que significa que la capacidad no es lo mismo que la omnipotencia. Un mes antes, la misma compañía había neutralizado otra operación. En este caso, un solo delincuente usó IA para extorsionar a al menos 17 organizaciones, incluidos hospitales, servicios de emergencia y entidades gubernamentales y religiosas.
Las sumas exigidas llegaban a superar los 500 000 dólares en algunos casos. Un solo individuo, una IA, diecisiete objetivos. Google también notó un avance significativo en 2025. Vio que APT28 usó una herramienta llamada PROMPTSTEAL contra Ucrania. Esta herramienta consultaba un modelo de lenguaje durante ataques reales para generar comandos y robar documentos. Además, PROMPTFLUX estaba experimentando con Gemini para modificar su propio código y evadir la detección.
En 2026 apareció otra señal de alerta. Anthropic informó que Claude Mythos Preview podía detectar y explotar vulnerabilidades de día cero en sistemas operativos y navegadores importantes. Incluso encontraron una falla en OpenBSD que llevaba 27 años sin ser detectada. Su programa Project Glasswing, por su parte, reportó más de 10,000 fallas de alta o crítica severidad encontradas por usuarios que empleaban el modelo. La velocidad de los ataques también se ha acelerado.
Microsoft reportó casi 40,000 vulnerabilidades CVE publicadas solo en la primera mitad de 2026 y estima que la IA está reduciendo el tiempo de ejecución de partes clave de un ataque de días a solo segundos. El Foro Económico Mundial, además, indicó que el 87 % de los encuestados considera las vulnerabilidades relacionadas con IA como el ciberriesgo de más rápido crecimiento.
Ahora, la pregunta incómoda: ¿alguna IA decidió atacar por iniciativa propia? No.
En los casos que conocemos, siempre hubo personas definiendo los objetivos. Sin embargo, esta tranquilidad no durará mucho. No necesitamos una máquina consciente para enfrentar una amenaza seria. Basta con una máquina competente, autónoma, conectada y que obedezca a la persona equivocada.
Para la República Dominicana, esto no es algo de ciencia ficción. Bancos, hospitales, empresas de telecomunicaciones, energía, aeropuertos y servicios públicos tendrán que defenderse a la velocidad de las máquinas. La próxima brecha digital no será solo sobre tener acceso a internet. Será sobre tener acceso a defensores artificiales.
Quizás el día que una inteligencia artificial decida atacarnos nunca llegue. Pero el día en que alguien pueda darle la orden… y simplemente dejarla actuar, ya comenzó. La verdadera pregunta es si estaremos preparados para cuando eso suceda.
