IA y ciberseguridad: modelos que ya encuentran fallos mejor que los humanos

INTELIGENCIA ARTIFICIAL · CIBERSEGURIDAD · BLOCKCHAIN

1. De firmas de virus a auditores digitales: qué cambió en la detección de fallos

La ciberseguridad empezó con listas de firmas y reglas: “si ves este patrón de bytes, es un virus”, “si este parámetro no está escapado, es un XSS”. Con el tiempo llegaron modelos de machine learning que aprendían a detectar anomalías en logs o tráfico de red. Ahora estamos en la siguiente fase: modelos generativos y agentes de IA capaces de leer código como si fueran un desarrollador más (pero sin sueño ni ego).

En pruebas de laboratorio y en pilotos de empresas, estos modelos han demostrado:

• Detectar patrones de vulnerabilidades que se le escapan a reglas estáticas, combinando contexto de varias funciones o archivos.
• Priorizar mejor qué fallos son realmente explotables y cuáles son ruido, ayudando a que los equipos no se ahoguen en falsos positivos.
• Explicar la vulnerabilidad con lenguaje natural, ejemplos de explotación y propuestas de parche, algo que una herramienta clásica no hace.

No es casualidad que muchas soluciones nuevas de seguridad (desde grandes cloud providers hasta herramientas de backup como las que analizamos en este artículo sobre IA y seguridad de datos) estén incorporando modelos de lenguaje como “capa extra” de detección y análisis.

2. Smart contracts: el patio de juegos perfecto para la IA

Pocas cosas son tan agradecidas para un modelo de IA como un smart contract:

• El código suele ser público (open source y desplegado en una blockchain).
• El comportamiento es determinista: sin mil dependencias externas, sin front-ends raros.
• Las vulnerabilidades tienen patrones repetidos (reentrancy, overflow, permisos mal definidos, oráculos débiles…).
• Y el premio por encontrar un bug puede ser enorme: hacks de DeFi por centenares de millones.

Eso ha disparado el interés por usar modelos grandes de lenguaje como “auditores asistidos”. ¿Qué hacen exactamente?

2.1. Del escáner de patrones al “abogado del diablo” inteligente

Durante años, auditar smart contracts significaba pasar el código por herramientas de análisis estático y luego revisarlo a mano. Estos escáneres basados en reglas siguen siendo útiles, pero se pierden cosas: bugs lógicos, interacciones entre contratos, condiciones de carrera sutiles…

Los nuevos frameworks basados en IA hacen algo diferente:

• Leen el contrato “como texto” y buscan riesgos a un nivel semántico: “¿qué pasa si el owner es una dirección maliciosa?”, “¿qué ocurre si dos funciones se llaman en este orden?”.
• Combinan análisis estático, ejecución simbólica y razonamiento del modelo para simular trayectorias de ejecución raras.
• Trabajan en modo multi-agente: un “IA auditor” describe posibles fallos, otro intenta explotarlos, un tercero valida impacto y prioriza.

2.2. ¿Realmente “mejor que humanos”?

En varios estudios recientes, estas arquitecturas han logrado:

• Superar a herramientas tradicionales en recall (encontrar más vulnerabilidades reales) en benchmarks de contratos con fallos conocidos.
• Detectar bugs sutiles que se le escapaban a auditores humanos menos experimentados.
• Mantener un ritmo de análisis estable incluso en grandes bases de código donde un equipo manual se agotaría.

Importante: esto no significa que la IA sustituya a los expertos top. Lo que muestran estos resultados es que, para ciertos tipos de fallos repetitivos y para revisar volúmenes grandes de contratos, un “auditor IA” puede actuar como un senior que no se cansa, y dejar a los humanos los casos raros y las decisiones de negocio.

3. Modelos que patrullan tu código como un SOC 24/7

El salto no se queda en los smart contracts. Hay una nueva generación de “agentes de seguridad” basados en IA que:

• Se conectan a tus repositorios y recorren el código en busca de patrones de vulnerabilidad.
• Lanzan tests, fuzzers y herramientas de análisis y luego interpretan los resultados, en lugar de solo listarlos.
• Proponen parches y abren directamente pull requests con cambios sugeridos.
• Priorzan por impacto: “esto es un bug menor”, “esto es un potencial RCE, arréglalo ya”.

En pruebas controladas, algunos de estos agentes han llegado a encontrar y corregir más del 90 % de las vulnerabilidades conocidas en repositorios “dorados” preparados para testearlos. No son infalibles, pero sí multiplicadores brutales del trabajo de un equipo de seguridad pequeño.

Si lo conectas con un orquestador de workflows (tipo n8n, del que hablábamos al montar un copiloto interno con modelos open-source), puedes tener algo muy cercano a un “SOC ampliado”: la IA vigila, propone, automatiza tareas repetitivas y los humanos supervisan y deciden.

4. ¿IA contra humanos? Mejor verlos como equipo

Para entender dónde está cada uno, ayuda verlo como una pequeña “tabla mental”:

La combinación ganadora, al menos en esta década, es clara: IA para ampliar el radar, humanos para decidir qué hacer con lo que aparece en él. Donde las cosas se rompen es cuando una de las dos patas se elimina: equipos que quieren sustituir a todos sus analistas por “un modelo mágico”, o equipos que se niegan a usar IA y van siempre por detrás del volumen de cambios y ataques.

5. Doble filo: los atacantes también tienen copilotos

Sería ingenuo pensar que solo los defensores tienen estos juguetes. La misma tecnología que ayuda a encontrar fallos en tu código puede usarse para:

• Escanear Internet en busca de aplicaciones desactualizadas o configuraciones débiles.
• Analizar el código de tus smart contracts recién desplegados buscando atajos a tu tesorería.
• Generar campañas de phishing hiperpersonalizadas mucho más efectivas que las que hacía un humano (y a una escala brutal).
• Automatizar la explotación: desde construir payloads hasta probar combinaciones de ataques encadenados.

Ya estamos viendo investigaciones y casos reales donde agentes de IA generan ataques de spear phishing más efectivos que los mejores “red teams” humanos. Sobre la cara ofensiva de la IA en ciberataques profundizo más en el análisis de cómo la IA está cambiando la ofensiva en ciberseguridad.

Moral de la historia: esto es una carrera armamentística. No usar IA en defensa no “baja el riesgo”, solo te deja en desventaja frente a adversarios que sí la usan para encontrar y explotar tus fallos más deprisa.

6. Los nuevos riesgos: la IA también introduce vulnerabilidades

Una ironía de todo esto es que, mientras la IA ayuda a encontrar bugs, abre a la vez nuevas superficies de ataque:

• Prompt injection: un modelo que analiza logs o documentos puede ser engañado por entradas maliciosas para que ignore alertas, filtre datos o ejecute acciones peligrosas.
• Herramientas de desarrollo vulnerables: plugins de IA en IDEs que ejecutan comandos o cambian configuración siguiendo instrucciones en el código o en archivos aparentemente inofensivos.
• Dependencia ciega del modelo: aceptar sin revisar parches sugeridos por la IA puede introducir nuevas vulnerabilidades en lugar de cerrar las antiguas.
• Modelos mal asegurados: servidores de IA expuestos, sin autenticación o sin control de abuso, que se convierten en puerta de entrada al resto de tu infraestructura.

Es decir, no basta con “poner IA” encima de tu stack de seguridad. Tienes que asegurar también la propia IA, igual que cualquier otra pieza crítica: inventario de modelos, control de acceso, monitorización, parches, pruebas de jailbreak, etc. Y conviene entender que vamos hacia entornos llenos de asistentes y agentes de IA con capacidad de actuar, lo que aumenta el impacto potencial de un compromiso.

7. Qué significa todo esto para tu trabajo (y qué hacer mañana mismo)

Aquí es donde bajamos del “futuro de la ciberseguridad” a tu día a día. Dependiendo de tu rol, las consecuencias son distintas.

Si eres desarrollador o dev lead

• Integra, como mínimo, un escáner con IA en tu pipeline de CI para revisar cada PR en busca de vulnerabilidades comunes.
• Usa modelos de lenguaje para que te expliquen los findings de herramientas clásicas: “explícame este CWE con ejemplos en mi propio código”.
• Desconfía del código generado automáticamente sin revisión. Estudios recientes muestran que el código creado por modelos, sin supervisión, puede traer patrones de vulnerabilidad distintos a los humanos, no necesariamente menos peligrosos.

Si trabajas en seguridad / auditoría

• Considera a la IA como un compañero de equipo pesado: perfecto para triage, repaso de código antiguo y documentación, pero no para firmar solo un “apto para producción”.
• Especialízate en cosas que la IA aún no hace bien: threat modeling, diseño de mitigaciones, entender la organización y sus incentivos.
• Experimenta con modelos open-source desplegados bajo tu control. Aquí es donde ayuda tener claro cómo elegir modelos open-source adecuados para tareas de seguridad.

Si eres founder o responsable de producto

• Asume que tus clientes van a empezar a preguntar “qué IA usas para asegurar esto” igual que hoy preguntan por cifrado o certificaciones.
• Presupuesta IA tanto para el lado defensivo (auditoría, detección de vulnerabilidades) como para mitigar riesgos que la propia IA introduce.
• Piensa en tu superficie de ataque completa, no solo en el código: integraciones, agentes, automatizaciones… cualquier cosa que pueda ser manipulada mediante prompts o entradas maliciosas.

8. Conclusión: la mejor noticia es que la IA se equivoca… pero nunca se cansa

Que un modelo encuentre vulnerabilidades mejor que un humano en ciertos benchmarks no significa que los equipos de seguridad estén acabados. Significa que, por fin, hay una herramienta capaz de escalar a la velocidad a la que se escribe y se despliega código en 2025. La condición es usarla con cabeza.

Los smart contracts son el ejemplo más brutal: código público, dinero real, atacantes motivados y ahora, auditores de IA en ambos bandos. Lo que pasa ahí es una demo adelantada de lo que le espera al resto del software empresarial en los próximos años.

La pregunta ya no es si la IA va a encontrar fallos mejor que tú en algunos casos. Es si quieres que esos modelos trabajen de tu lado, integrados en tu flujo de desarrollo y seguridad… o si prefieres seguir buscando vulnerabilidades a mano mientras los atacantes automatizan la búsqueda de las tuyas. La tecnología ya está aquí; lo que falta son decisiones claras sobre cómo integrarla y quién manda cuando el auditor que levanta la mano es un modelo, no una persona.