Google detecta ciberataques con agentes de IA: el margen para defenderse se reduce
Google ha publicado el 8 de septiembre de 2026 un informe sobre el uso malicioso de inteligencia artificial que señala una evolución hacia operaciones asistidas por agentes. Uno de los casos investigados partió de una infraestructura cloud comprometida y permitió preparar y ejecutar una campaña de robo de credenciales en menos de seis horas. La consecuencia práctica es la siguiente: las empresas necesitan detectar y contener incidentes con menos demora.
Qué ha observado Google y qué no demuestra el informe
El AI Threat Tracker de Google Threat Intelligence Group recoge observaciones del segundo trimestre de 2026. Describe automatización mediante agentes, ataques a herramientas de desarrollo y sustracción de activos de IA, como modelos, código y credenciales.
Google no ha observado todavía cadenas completamente autónomas de descubrimiento y explotación de vulnerabilidades desconocidas contra objetivos reales en los términos que analiza. También recoge intentos de construir herramientas, que no equivalen a despliegues operativos.
Son conclusiones basadas en la visibilidad de Google y Mandiant, no un censo de todos los ciberataques. El caso de las seis horas ilustra una operación concreta; no establece un plazo universal para sufrir una intrusión ni mide por sí solo cuánto acelera la IA cualquier ataque.
Por qué un agente puede acelerar una operación
Un chatbot suele responder a una consulta. Un agente añade herramientas y un ciclo de trabajo: recibe un objetivo, propone una acción, obtiene un resultado y decide el siguiente paso. Puede consultar documentos, ejecutar comprobaciones o interactuar con servicios, dependiendo de los permisos concedidos.
La automatización tradicional ya encadena tareas. La diferencia potencial está en adaptar los siguientes pasos a resultados variables, en lugar de depender exclusivamente de una secuencia fija. Eso no convierte al sistema en infalible: una interpretación errónea puede propagarse y provocar acciones inadecuadas.
La guía de seguridad de agentes de OWASP recomienda limitar herramientas, costes, reintentos y permisos, además de mantener supervisión humana en acciones de alto riesgo. Para una empresa, la pregunta útil es qué puede hacer el agente con sus accesos, no únicamente qué modelo utiliza.
El asistente también puede convertirse en una puerta de entrada
Delegar tareas exige distinguir entre instrucciones del usuario y contenido externo. Un documento, una página web o un comentario de código pueden contener texto diseñado para alterar el comportamiento de un asistente. Este problema se conoce como inyección de instrucciones, o prompt injection.
Por ejemplo, un asistente encargado de resumir documentación podría encontrar una indicación maliciosa para enviar información a otro destino. Leer ese texto no debería concederle autoridad para cambiar la tarea. El riesgo aumenta cuando dispone de acceso a archivos, correo o herramientas capaces de modificar sistemas.
La guía de prevención de OWASP plantea varias capas: separar datos e instrucciones, validar las llamadas a herramientas y restringir los accesos. Un segundo modelo que supervise al primero puede ayudar, pero también es susceptible de manipulación. La autorización debe comprobarse fuera de la interpretación del modelo.
Qué deberían revisar las empresas españolas
La respuesta empieza por controles conocidos. INCIBE recomienda autenticación multifactor, actualización de sistemas, segmentación y revisión de las copias de seguridad. Estas medidas siguen siendo relevantes cuando el atacante incorpora IA: reducen oportunidades de entrada y dificultan que un incidente se extienda.
Para una pyme, resulta práctico identificar primero el correo, la administración de la nube y los servicios expuestos a Internet. Cada uno debe tener responsables, accesos revisados y registros disponibles. Una alerta sirve de poco si nadie sabe quién puede revocar una sesión o aislar un equipo fuera del horario habitual.
También conviene ensayar la recuperación. Tener una copia no garantiza poder restaurar una aplicación con sus datos y dependencias. Un ejercicio sencillo permite comprobar cuánto tarda el negocio en volver a funcionar y qué decisiones requieren coordinación con su proveedor tecnológico.
La nube necesita permisos y límites de consumo
Los servicios cloud separan distintas responsabilidades entre cliente y proveedor. Como explicamos en este artículo de Tecnoic sobre IaaS, PaaS y SaaS, contratar infraestructura o software como servicio cambia qué administra cada parte. Esa distribución debe quedar clara también al incorporar herramientas de IA.
El principio de mínimo privilegio que explica INCIBE consiste en conceder únicamente los accesos necesarios. Aplicado a un asistente, permite evitar que una tarea de consulta herede permisos de administración. Las cuentas compartidas dificultan además atribuir acciones y retirar un acceso concreto.
Como criterio operativo, merece la pena fijar límites de consumo y revisar desviaciones: un aumento inesperado de peticiones puede ser una avería, un bucle o un uso indebido. La alerta económica no sustituye a la vigilancia de seguridad, pero aporta otra señal para investigar.
La IA defensiva necesita pruebas y control
La automatización también puede ayudar a los defensores. Google explicó el 2 de septiembre cómo utilizar Mantis, su framework abierto para encontrar y corregir vulnerabilidades. Su enfoque incluye reproducir fallos en entornos aislados, una comprobación necesaria antes de dar por válido un hallazgo.
El objetivo razonable es reducir trabajo repetitivo sin confundir una respuesta convincente con una corrección verificada. Las organizaciones necesitan saber qué se ha probado, quién aprueba el cambio y cómo revertirlo si falla.
¿Tiene tu empresa un procedimiento para retirar rápidamente los accesos de un asistente de IA? ¿Qué supondría detectar un incidente varias horas después de que comenzara?
