La inteligencia artificial está transformando rápidamente el mundo de la ciberseguridad, y no solo porque permite a empresas y gobiernos mejorar sus sistemas de defensa. Las mismas tecnologías que sirven para analizar grandes cantidades de información, escribir código, automatizar procesos o generar textos también pueden ser utilizadas por grupos de hackers para aumentar la velocidad y la escala de sus operaciones. Uno de los ejemplos más recientes procede de Corea del Norte, donde el grupo de piratería informática Kimsuky estaría desarrollando y utilizando una infraestructura propia basada en herramientas de inteligencia artificial.
Una investigación de la empresa surcoreana de ciberseguridad Genians identificó en infraestructura relacionada con Kimsuky distintos modelos de inteligencia artificial, herramientas de asistencia para programación, sistemas de transcripción de voz, agentes de IA y tecnología de búsqueda documental conocida como RAG, siglas de Retrieval-Augmented Generation. La combinación de estas tecnologías resulta especialmente significativa porque apunta a algo más amplio que el simple uso ocasional de un chatbot. El grupo estaría construyendo un entorno tecnológico capaz de apoyar diferentes etapas de sus operaciones de espionaje y ataque informático.
Kimsuky no es un actor desconocido dentro del panorama internacional de amenazas cibernéticas. El grupo ha sido vinculado durante años con Corea del Norte y con campañas dirigidas contra gobiernos, instituciones, organizaciones y personas relacionadas con asuntos políticos, militares, diplomáticos y tecnológicos. Estados Unidos lo ha señalado como parte de las actividades de espionaje cibernético patrocinadas por Pyongyang, mientras que investigaciones internacionales también han relacionado a actores norcoreanos con robos de información y operaciones destinadas a obtener recursos económicos.
La importancia del nuevo escenario está, por tanto, en la incorporación de la inteligencia artificial a una capacidad que ya existía. La IA no está sustituyendo necesariamente a los hackers humanos, sino que puede convertirse en un multiplicador de sus capacidades. Una herramienta que permita investigar objetivos más rápido, analizar documentos, programar con mayor eficiencia o crear comunicaciones más convincentes puede hacer que un grupo relativamente pequeño consiga realizar muchas más tareas con los mismos recursos.
De los chatbots a una infraestructura propia
Uno de los elementos más llamativos del caso es la diversidad de herramientas de inteligencia artificial encontradas. La investigación de Genians identificó tecnologías como Ollama, GPT4All y Msty, además de herramientas relacionadas con RAG, agentes de inteligencia artificial y asistentes de programación como Cursor. También aparecieron sistemas capaces de convertir voz en texto, lo que demuestra que el interés del grupo por la inteligencia artificial no parece limitarse a una única función, sino que abarca diferentes aplicaciones de esta tecnología.
La utilización de modelos de inteligencia artificial que pueden ejecutarse localmente tiene una importancia especial para un grupo dedicado al espionaje. Cuando una organización utiliza una plataforma comercial de inteligencia artificial, sus solicitudes normalmente pasan por la infraestructura de un proveedor que puede aplicar filtros, registrar actividad o bloquear determinados comportamientos. Un modelo de inteligencia artificial instalado directamente en la infraestructura del usuario, en cambio, permite mantener los datos dentro de un entorno controlado por el propio operador y utilizar la inteligencia artificial sin depender necesariamente de un servicio externo.
Para un grupo de espionaje, esta diferencia puede resultar fundamental. Los archivos obtenidos durante una intrusión pueden incluir comunicaciones privadas, documentos gubernamentales, información financiera, código fuente o datos relacionados con investigaciones sensibles. Si todo ese material puede ser procesado localmente mediante herramientas de inteligencia artificial, el atacante puede reducir su dependencia de proveedores externos y utilizar la inteligencia artificial para analizar grandes cantidades de información sin tener que enviarla a servicios comerciales.
La disponibilidad de modelos abiertos también complica los esfuerzos destinados a controlar el uso malicioso de la inteligencia artificial. Un proveedor puede cerrar una cuenta o impedir determinadas solicitudes, pero un atacante puede recurrir a otro servicio, instalar un modelo de inteligencia artificial diferente o combinar varias herramientas de inteligencia artificial. Esto significa que la lucha contra el uso criminal de la inteligencia artificial no puede depender únicamente de las medidas de seguridad aplicadas por las grandes compañías tecnológicas, sino que también requiere controles, investigación y estrategias de ciberseguridad capaces de responder a la rápida evolución de la inteligencia artificial.
¿Cómo puede utilizarse la IA en una operación de hackeo?
La inteligencia artificial puede intervenir en prácticamente todas las fases de una operación informática. Una de las primeras es la investigación del objetivo, que puede implicar recopilar información sobre empleados, empresas, tecnologías utilizadas, sistemas expuestos en internet y relaciones entre diferentes organizaciones. Un modelo de inteligencia artificial puede ayudar a ordenar esos datos, resumir documentos y encontrar conexiones que serían difíciles de identificar manualmente.
Otra aplicación importante de la inteligencia artificial es la ingeniería social. Los ataques de phishing suelen depender de la capacidad del atacante para convencer a una persona de que una comunicación es legítima, por lo que la personalización del mensaje puede aumentar su eficacia. Los modelos de inteligencia artificial permiten generar rápidamente textos adaptados a diferentes destinatarios, corregir errores, cambiar el tono de una comunicación y producir contenidos en diferentes idiomas.
Esta capacidad de la inteligencia artificial puede eliminar algunas de las señales tradicionales utilizadas para identificar mensajes fraudulentos. Durante años, los errores gramaticales, las traducciones deficientes y las expresiones poco naturales han ayudado a los usuarios a sospechar de determinados correos electrónicos. Si la inteligencia artificial consigue producir mensajes mucho más naturales y adaptados al contexto de cada víctima, los ataques pueden resultar más difíciles de distinguir de una comunicación auténtica.
La inteligencia artificial también puede utilizarse para analizar información obtenida durante una intrusión. Un atacante puede conseguir miles o millones de documentos, pero disponer de ellos no significa saber cuáles son realmente importantes. Los modelos de inteligencia artificial pueden ayudar a clasificar archivos, resumir contenidos, identificar términos relevantes y localizar referencias a personas, proyectos, tecnologías o contratos específicos.
Otra área de interés es la programación. Los asistentes de código basados en inteligencia artificial pueden ayudar a escribir, modificar, revisar y depurar programas, además de explicar fragmentos de código que el usuario no comprenda completamente. Para un grupo que ya dispone de especialistas técnicos, esta capacidad puede reducir el tiempo necesario para desarrollar determinadas herramientas y permitir que los operadores dediquen más atención a otras partes de la operación.
La importancia de la inteligencia artificial no está necesariamente en que pueda realizar por sí sola un ataque completo. Su valor puede estar en acelerar numerosas tareas pequeñas que, juntas, consumen una cantidad considerable de tiempo. Si un operador puede investigar, programar, traducir, analizar documentos y redactar comunicaciones más rápidamente mediante inteligencia artificial, la productividad general de la operación aumenta.
RAG y el valor de la información robada
Entre las tecnologías identificadas en el entorno de Kimsuky aparece RAG, un sistema diseñado para combinar modelos de inteligencia artificial con bases de información externas. En lugar de depender exclusivamente del conocimiento que el modelo de inteligencia artificial adquirió durante su entrenamiento, RAG permite consultar documentos específicos y utilizar la información recuperada para generar respuestas más contextualizadas.
En un entorno empresarial, esta tecnología puede utilizarse para consultar bases de datos internas, manuales o grandes colecciones de documentos. En un contexto de espionaje, la inteligencia artificial podría servir para analizar rápidamente enormes cantidades de información obtenida durante una intrusión. El atacante puede formular preguntas sobre un conjunto documental y utilizar la inteligencia artificial para localizar información relevante sin necesidad de revisar manualmente cada archivo.
Esto es importante porque el verdadero valor del espionaje no está únicamente en conseguir datos, sino en convertirlos en conocimiento. Una organización puede robar miles de documentos y, sin embargo, tener dificultades para determinar cuáles contienen información estratégica. Una herramienta de inteligencia artificial puede actuar como una capa de análisis entre el volumen de datos robados y los operadores humanos.
La consecuencia puede ser una transformación de la economía del espionaje. Si anteriormente era necesario dedicar muchas horas de trabajo a revisar documentación, la automatización mediante inteligencia artificial puede reducir considerablemente ese esfuerzo. El resultado no tiene por qué ser un ataque técnicamente más sofisticado, sino un atacante capaz de utilizar la inteligencia artificial para extraer más valor de cada intrusión.
El avance de los agentes de inteligencia artificial
Existe una diferencia importante entre un chatbot convencional y un agente de inteligencia artificial. Mientras que un chatbot normalmente responde a una instrucción concreta, un agente de inteligencia artificial puede recibir un objetivo más amplio y utilizar diferentes herramientas para avanzar hacia él. Dependiendo de su configuración, la inteligencia artificial puede buscar información, analizar resultados, ejecutar determinadas acciones y continuar con nuevos pasos.
Esta evolución resulta especialmente relevante para la ciberseguridad porque aumenta las posibilidades de automatización mediante inteligencia artificial. Una persona puede utilizar un modelo de inteligencia artificial para realizar una tarea y después decidir manualmente qué hacer, mientras que un sistema más autónomo puede encadenar varias operaciones. Cuanto mayor sea la cantidad de herramientas a las que tenga acceso la inteligencia artificial, mayor será también el número de acciones que potencialmente puede realizar.
Sin embargo, esto no significa que los ataques informáticos se hayan convertido ya en operaciones completamente autónomas. Los sistemas actuales de inteligencia artificial todavía cometen errores, pueden interpretar mal las instrucciones y necesitan información adecuada para producir resultados útiles. Los humanos siguen siendo fundamentales para seleccionar objetivos, establecer prioridades, evaluar resultados y tomar decisiones estratégicas.
El riesgo real puede ser menos espectacular, pero no por ello menos importante. La inteligencia artificial no necesita ser capaz de dirigir por completo una operación para ofrecer una ventaja significativa a un atacante. Si la inteligencia artificial permite realizar en una hora una tarea que anteriormente requería varias horas, o analizar miles de documentos en lugar de unas pocas decenas, ya está modificando la capacidad operativa de quien la utiliza.
Corea del Norte y la importancia estratégica del ciberespacio
La incorporación de inteligencia artificial a las actividades de Kimsuky debe analizarse dentro de la estrategia cibernética desarrollada por Corea del Norte durante las últimas décadas. Pyongyang ha construido capacidades para realizar operaciones de espionaje, obtener información estratégica y atacar objetivos relacionados con gobiernos, instituciones financieras y empresas. El ciberespacio se ha convertido en una herramienta especialmente útil para un país que afronta importantes limitaciones económicas y tecnológicas en otros ámbitos, mientras la inteligencia artificial abre nuevas posibilidades para ampliar esas capacidades.
Las actividades norcoreanas también han estado relacionadas con operaciones destinadas a obtener recursos financieros. Diferentes grupos vinculados al país han sido acusados de participar en robos de criptomonedas y otros ataques contra organizaciones financieras, convirtiendo las capacidades cibernéticas en una fuente adicional de ingresos. Esto significa que una misma infraestructura tecnológica puede servir tanto para objetivos de inteligencia como para operaciones con una finalidad económica, y la inteligencia artificial puede contribuir a ambas clases de actividades.
La inteligencia artificial puede potenciar ambas dimensiones. Una herramienta de inteligencia artificial capaz de identificar información sensible puede ser utilizada para espionaje, mientras que una tecnología de inteligencia artificial capaz de analizar grandes cantidades de datos puede ayudar a localizar información financiera. Del mismo modo, las herramientas de inteligencia artificial aplicadas a la ingeniería social pueden utilizarse para obtener credenciales, acceder a cuentas o convencer a una víctima de realizar determinadas acciones.
Para Corea del Norte, la posibilidad de multiplicar la productividad de sus operadores mediante inteligencia artificial puede tener un valor estratégico considerable. La inteligencia artificial no elimina las limitaciones de recursos del país, pero puede ayudar a que un número reducido de especialistas realice una cantidad mayor de trabajo. En ese sentido, la inteligencia artificial puede convertirse en una herramienta para compensar parcialmente la falta de recursos humanos.
El desafío de los modelos de código abierto
Los modelos de inteligencia artificial que pueden ejecutarse localmente plantean un desafío particular para los gobiernos y las empresas tecnológicas. Su disponibilidad tiene enormes beneficios legítimos para la investigación, la innovación y el desarrollo de aplicaciones, pero también permite que determinados usuarios operen sin depender de controles externos. Una vez que un modelo de inteligencia artificial está instalado en una infraestructura privada, resulta mucho más difícil supervisar cómo se utiliza.
Esto no significa que los modelos abiertos de inteligencia artificial sean herramientas de ataque por naturaleza. La mayoría tiene aplicaciones legítimas y puede ofrecer importantes ventajas para empresas, universidades y desarrolladores. El problema aparece cuando la inteligencia artificial se combina con conocimientos especializados, bases de datos robadas, herramientas de automatización y otros componentes diseñados para realizar actividades maliciosas.
Además, los modelos actuales de inteligencia artificial no son infalibles. Pueden producir información incorrecta, generar código defectuoso o interpretar mal una instrucción, por lo que siguen necesitando supervisión humana. La capacidad real de un grupo como Kimsuky depende de la combinación entre tecnología, inteligencia artificial y experiencia operativa, no simplemente de tener acceso a un modelo de lenguaje.
La inteligencia artificial también fortalece la defensa
La misma inteligencia artificial que puede aumentar la capacidad de los atacantes también puede utilizarse para defender sistemas informáticos. Las empresas y los gobiernos generan enormes cantidades de registros, alertas y datos de seguridad, y uno de sus principales problemas consiste en determinar rápidamente cuáles de esos eventos son realmente importantes. Los sistemas de inteligencia artificial pueden ayudar a clasificar alertas, identificar patrones y detectar comportamientos anómalos.
La inteligencia artificial también puede acelerar la investigación de incidentes. Un sistema de inteligencia artificial puede ayudar a resumir registros, analizar código, relacionar acontecimientos ocurridos en diferentes sistemas y organizar grandes cantidades de información. Esto permite que los especialistas dediquen más tiempo a las decisiones estratégicas y menos a tareas repetitivas.
El resultado es una carrera tecnológica entre atacantes y defensores. A medida que los primeros automatizan determinadas actividades mediante inteligencia artificial, las organizaciones necesitan automatizar también sus mecanismos de detección y respuesta. La ventaja no dependerá exclusivamente de quién tenga acceso al modelo de inteligencia artificial más potente, sino de quién consiga integrarlo mejor con sus datos, infraestructura y equipos humanos.
Esta carrera también explica por qué la seguridad de los sistemas de inteligencia artificial se está convirtiendo en una cuestión estratégica. Una empresa puede incorporar un asistente de inteligencia artificial para mejorar la productividad, pero si ese sistema tiene acceso a información sensible o herramientas internas, también puede convertirse en un nuevo objetivo. La protección de la inteligencia artificial tendrá que avanzar al mismo tiempo que su adopción.
La amenaza no se resuelve prohibiendo la IA
El caso Kimsuky demuestra que no existe una solución sencilla basada únicamente en prohibir determinadas herramientas de inteligencia artificial. Las compañías pueden bloquear cuentas, establecer límites y detectar comportamientos sospechosos relacionados con la inteligencia artificial, pero los atacantes pueden cambiar de plataforma o utilizar modelos de inteligencia artificial que funcionan localmente. También pueden combinar diferentes sistemas de inteligencia artificial para evitar depender de un único proveedor.
Por esa razón, la respuesta debe incluir medidas de ciberseguridad tradicionales y nuevas estrategias adaptadas a la era de la inteligencia artificial. Las organizaciones necesitan proteger las identidades de sus empleados, utilizar autenticación multifactor, mantener actualizados sus sistemas, controlar los permisos y reducir la exposición innecesaria de servicios conectados a internet. También deben formar a sus trabajadores para reconocer ataques de ingeniería social cada vez más convincentes, incluidos aquellos que utilizan inteligencia artificial para generar comunicaciones.
La protección de la información adquiere una importancia todavía mayor en un contexto marcado por el avance de la inteligencia artificial. Si los atacantes pueden utilizar inteligencia artificial para analizar automáticamente documentos robados, las empresas deben reducir la cantidad de información que puede ser obtenida durante una intrusión y limitar el acceso interno a datos sensibles. La seguridad deja de consistir únicamente en impedir la entrada de un atacante y pasa también por limitar cuánto puede aprovechar la inteligencia artificial si consigue entrar.
El caso de Kimsuky representa una señal importante sobre la dirección que está tomando la ciberguerra. Corea del Norte no necesita desarrollar una inteligencia artificial completamente autónoma para obtener ventajas significativas, ya que puede combinar modelos existentes con herramientas de programación, análisis documental, transcripción y automatización. La verdadera importancia de esta evolución está en la capacidad de integrar todas esas tecnologías de inteligencia artificial dentro de una operación coordinada.
La inteligencia artificial está reduciendo el tiempo necesario para realizar muchas tareas que forman parte de un ataque informático. Puede ayudar a investigar objetivos, procesar información, desarrollar código, traducir contenidos, redactar mensajes personalizados y analizar grandes cantidades de documentos. Cada una de estas funciones puede parecer limitada de manera individual, pero su combinación puede aumentar considerablemente la productividad de un grupo de hackers.
Al mismo tiempo, sería un error pensar que las máquinas ya han sustituido a los operadores humanos. Los sistemas actuales siguen cometiendo errores y necesitan supervisión, contexto y objetivos definidos por personas. La amenaza más inmediata son grupos humanos que utilizan inteligencia artificial para hacer más rápido y a mayor escala aquello que ya saben hacer.
La misma carrera tecnológica se desarrolla en el lado defensivo. Gobiernos, empresas y especialistas en ciberseguridad utilizan inteligencia artificial para detectar anomalías, investigar ataques, analizar código y responder a incidentes. La seguridad informática tendrá que adaptarse rápidamente a un escenario en el que la inteligencia artificial puede ser tanto una herramienta de ataque como una defensa. Si tu empresa necesita reforzar su ciberseguridad y prepararse para las nuevas amenazas relacionadas con la inteligencia artificial, puedes contactar con ITD Consulting en [email protected] para conocer sus servicios y soluciones tecnológicas.
ES 
EN