Durante los últimos dos años se ha instalado una narrativa casi apocalíptica en torno al impacto de la inteligencia artificial en la ciberdelincuencia. Se ha repetido hasta la saciedad que los modelos generativos iban a democratizar el hacking, automatizar ataques sofisticados y multiplicar exponencialmente las amenazas. Sin embargo, la realidad operativa parece bastante más compleja —y mucho menos espectacular— de lo que algunos titulares sugerían.
Un reciente estudio de la Universidad de Edimburgo, basado en el análisis de más de 100 millones de publicaciones en foros clandestinos y comunidades de ciberdelincuencia, concluye que muchos actores maliciosos han probado herramientas de IA generativa… y han acabado profundamente decepcionados con sus resultados.
La investigación revela un dato especialmente relevante para el sector de la ciberseguridad: la inteligencia artificial no está eliminando la barrera técnica del cibercrimen como inicialmente se temía. Los modelos actuales siguen requiriendo conocimientos avanzados, capacidad técnica y experiencia real para ser utilizados de forma verdaderamente efectiva en ataques sofisticados. En otras palabras: la IA no convierte automáticamente a un actor mediocre en un atacante avanzado.
Los investigadores detectaron que muchos ciberdelincuentes consideran que las herramientas de IA son “poco útiles” para mejorar significativamente sus capacidades ofensivas. Los asistentes de programación basados en IA ayudan principalmente a perfiles que ya saben programar, pero aportan poco valor a quienes carecen de una base técnica sólida. Incluso dentro de los propios foros underground aparecen mensajes de frustración sobre la incapacidad de estos sistemas para generar exploits funcionales, malware realmente operativo o mecanismos avanzados de evasión.
Esto no significa, sin embargo, que la IA no represente un riesgo. Lo que está ocurriendo es algo más matizado y, desde el punto de vista defensivo, probablemente más peligroso: la IA está siendo especialmente útil en tareas de automatización masiva, ingeniería social y fraude escalable. El estudio identifica usos relativamente exitosos en campañas de bots, fraude SEO, generación automatizada de contenido fraudulento, creación de webs falsas y apoyo a operaciones de phishing y manipulación social.
Precisamente ahí reside uno de los grandes desafíos actuales para las organizaciones. La IA no está revolucionando tanto el hacking técnico puro como la capacidad de industrializar el engaño. El volumen, la velocidad y la personalización de campañas fraudulentas se incrementan drásticamente cuando los atacantes pueden generar textos, imágenes, correos o interacciones automatizadas a gran escala y con bajo coste operativo.
Otro aspecto especialmente interesante del estudio es que muchos ciberdelincuentes terminan recurriendo a modelos open source antiguos o menos sofisticados porque los sistemas comerciales más avanzados incorporan salvaguardas de seguridad relativamente eficaces. Plataformas mainstream como Claude, ChatGPT o Codex incluyen restricciones que dificultan ciertos usos maliciosos, lo que obliga a actores criminales a buscar modelos menos seguros pero también menos potentes.
Esta situación desmonta parcialmente algunos discursos alarmistas sobre una supuesta explosión inmediata de “supercibercriminales impulsados por IA”. La realidad actual apunta más hacia un escenario híbrido: la IA potencia determinadas capacidades, acelera procesos y abarata operaciones fraudulentas, pero todavía no sustituye el conocimiento técnico profundo necesario para ejecutar campañas complejas de intrusión avanzada.
Desde una perspectiva empresarial, esto tiene implicaciones estratégicas muy importantes. Muchas compañías siguen enfocando sus inversiones exclusivamente en amenazas extremadamente sofisticadas, cuando buena parte del riesgo real sigue estando en vectores clásicos potenciados por IA: phishing hiperpersonalizado, fraude BEC, suplantaciones, automatización de ingeniería social y manipulación de empleados mediante contenido sintético cada vez más convincente.
Por ello, la ciberseguridad en la era de la IA no debe centrarse únicamente en “combatir inteligencia artificial con inteligencia artificial”. El verdadero reto continúa siendo organizativo, humano y estratégico: formación continua, cultura de seguridad, procedimientos robustos, segmentación de accesos, verificación de identidades y capacidad de detección temprana.
La IA está cambiando el panorama de amenazas, sí. Pero no necesariamente de la forma que muchos imaginaban. Al menos por ahora, incluso los propios ciberdelincuentes están descubriendo que la inteligencia artificial no es una varita mágica.