Ciberseguridad 2025–2026: qué pasó y por qué importa

En 2026 la inteligencia artificial pasó de promesa a herramienta de auditoría con resultados medibles. Según Mozilla, en dos semanas de enero un modelo de Anthropic halló más de 100 errores en Firefox, 14 de ellos de gravedad alta, en un año en que el navegador había parcheado 73 fallos altos o críticos. Meses después, Firefox 150 corrigió 271 vulnerabilidades localizadas con Mythos Preview, y otro agente encontró 21 fallos de día cero en FFmpeg.

El reverso es la brecha entre descubrir y corregir. En su primer mes, el proyecto Glasswing señaló más de 10.000 posibles fallos críticos: 1.726 se confirmaron y solo 97 estaban parcheados. El instituto de seguridad de IA del Reino Unido matizó el relato: en pruebas sueltas Mythos mejora poco a otros modelos, pero fue el primero en completar una intrusión simulada de 32 pasos, aunque solo en tres de diez intentos. Google, además, confirmó el primer caso de una IA que descubrió y armó un día cero usado en la práctica.

Los atacantes también incorporan IA. CyberStrikeAI, una plataforma de código abierto, integra más de cien herramientas ofensivas y se usó contra firewalls FortiGate; el grupo Tribu Transparente automatiza la creación de implantes contra objetivos en la India; y se han observado agentes basados en modelos de lenguaje en la fase posterior a la intrusión. Un modelo chino de pesos abiertos, GLM-5.2, iguala o supera a un modelo de Anthropic en la detección de fallos.

Las plataformas para construir y ejecutar agentes de IA pasaron a ser blanco de ataques reales. Flowise sufrió una falla de ejecución remota explotada activamente, con puntuación CVSS de 10.0 y más de 12.000 instancias expuestas en internet. Langflow, con unas 7.000 instancias expuestas, y otros dos marcos populares acumularon vulnerabilidades graves que permiten ejecutar código y robar credenciales.

Según el análisis, no son amenazas exóticas, sino fallos clásicos —inyección SQL, recorrido de rutas, deserialización insegura— en infraestructura que los equipos de seguridad aún no saben vigilar. Se suman Ollama (lectura fuera de límites), OpenClaw (inyección de instrucciones y exfiltración) y PraisonAI, atacado horas después de divulgarse su fallo. Los repositorios de modelos y habilidades de agentes ya alojan cientos de entradas maliciosas, y los registros de herramientas pueden envenenarse porque los agentes eligen por descripción, sin verificación humana.

El episodio más ilustrativo llegó en julio: Sysdig documentó lo que cree el primer ataque de ransomware totalmente autónomo, ejecutado por un agente de IA que entró explotando una falla de Langflow y que corrigió un inicio de sesión fallido en apenas 31 segundos.

Los equipos de red y de seguridad fueron la puerta favorita. El FBI avisó en agosto de 2025 de que hackers rusos vinculados al FSB atacaban miles de dispositivos de red de infraestructuras críticas estadounidenses a través de una falla de Cisco con siete años de antigüedad. Poco después F5 vio expuesto el código fuente de BIG-IP ante un actor estatal sospechoso, y SonicWall confirmó que un grupo respaldado por un Estado estaba tras su brecha. Ya en 2026, Interlock explotó un día cero del Cisco Secure Firewall Management Center desde finales de enero, antes del parche del 4 de marzo, y otro día cero de Cisco SD-WAN permitió acceso root.

El ciberespionaje chino fue constante. UNC5221 usó la puerta trasera BRICKSTORM contra los sectores legal y tecnológico de EE UU; Mandiant lo vinculó con el interés de Pekín en su disputa comercial; Palo Alto Networks describió un grupo chino que llevaba años en servidores de correo de ministerios de Exteriores; y UAT-9244 atacó a operadores de telecomunicaciones sudamericanos con tres herramientas distintas. Del lado ruso, el FBI y CISA alertaron de una campaña de phishing contra las claves de recuperación de Signal, y APT28 explotó un día cero de MSHTML antes del parche de febrero.

La cadena de suministro fue el vector de mayor eco. El compromiso de Trivy, un escáner de vulnerabilidades muy usado, comenzó el 19 de marzo según una de las fuentes y desató un gusano que infectó 47 paquetes npm; en abril se supo que el grupo TeamPCP, a través de Trivy, robó 92 GB de la infraestructura en la nube de la Comisión Europea. Otro ataque, GlassWorm, abusó de 72 extensiones de Open VSX para llegar a los entornos de los desarrolladores.

La identidad es el otro eslabón débil. La brecha de Vercel partió de un empleado que concedió permisos amplios, desde su cuenta corporativa, a una herramienta de IA de terceros, y el atacante aprovechó variables de entorno no marcadas como sensibles. Una técnica de phishing basada en el consentimiento de OAuth elude incluso la autenticación multifactor. Trellix, una empresa de seguridad, confirmó el acceso a sus repositorios de código fuente, y paquetes falsos de Laravel o de temática Bitcoin repitieron el patrón en los registros de paquetes.

El ransomware se aceleró y cambió de método. Cl0p explotó Oracle E-Business Suite y, según Google, varios ejecutivos recibieron correos de extorsión que decían proceder de ese grupo, aunque no había pruebas para confirmarlo. En junio, ShinyHunters entró en más de 100 organizaciones con un día cero de Oracle PeopleSoft sin parche. ReliaQuest contó 2.638 publicaciones de víctimas en el primer trimestre de 2026, un 22 % más interanual, con The Gentlemen creciendo un 588 %.

La escala de las botnets marcó récords y la respuesta fue igual de internacional. AISURU, con hasta 4 millones de equipos infectados, se vinculó a un ataque DDoS de 29,7 Tbps; en marzo, Justicia de EE UU desarticuló una red de unos 3 millones de dispositivos IoT con ataques de 31,4 Tbps. Otra operación interrumpió SocksEscort, con unas 369.000 direcciones IP en 163 países, e INTERPOL desmanteló 45.000 direcciones IP con 94 detenciones. La cabeza presunta de Black Basta entró en la lista de más buscados de la UE.