El último informe defensivo de Microsoft describe una combinación incómoda: los atacantes preparan partes de una intrusión más deprisa, mientras las identidades y herramientas conectadas comprometidas alcanzan más recursos de una organización. La IA acelera métodos conocidos antes de que el hackeo totalmente autónomo sea habitual. El problema inmediato combina una ventana de respuesta menor con una red más amplia de acceso de confianza.
Publicado el 1 de octubre, el Digital Defense Report 2026 examina amenazas de julio 2025 a junio 2026. Microsoft sitúa la IA en reconocimiento, ingeniería social, investigación de vulnerabilidades, desarrollo de malware y análisis posterior al compromiso. Las observaciones no establecen que agentes sin supervisión dominen los ataques. Las personas controlan todavía la mayoría de campañas; la investigación de orquestación emergente debe distinguirse de actividad consolidada.
Qué miden las cifras
Microsoft informa de robo de datos en el 63% de las intrusiones observadas y más de 46 millones de ataques que suplantaban contactos empresariales durante los 12 meses anteriores. En intrusiones con cuentas válidas, el 52,2% provocó más robos de credenciales. Una identidad robada puede abrir otras cuentas, registros cloud y herramientas administrativas de confianza, en vez de limitarse a un acceso aislado.
Las cifras geográficas y sectoriales tienen denominadores y periodos distintos. Los clientes estadounidenses representaron el 25,5% de la actividad observada de enero 2025 a junio 2026. Organismos y servicios gubernamentales supusieron el 27% de la medición sectorial 2026 frente al 17% en 2025; tecnología de la información tuvo 17% e investigación y academia 14%. Son cuotas dentro de la visibilidad de Microsoft, no un censo mundial ni la probabilidad de ataque de cada organización.
El phishing representó 23% de las intrusiones observadas en 2026 frente a 7% en 2025. El incremento no determina cuánto causó la IA. Un análisis de abril comunicó por separado 54% de clics para phishing asistido por IA frente a aproximadamente 12% en campañas tradicionales. La razón es 4,5 veces, no un aumento relativo del 450%. Diseño, selección de objetivos y población medida limitan la interpretación: no es una predicción para cada buzón.
La IA sí abarata adaptar señuelos a un puesto, traducirlos, imitar lenguaje laboral y revisar mensajes fallidos. También ayuda a elaborar personajes, falsificar documentos, preparar scripts, depurar malware, evadir detección y resumir archivos robados. Estas mejoras importan sin nuevos exploits ni una máquina atacante independiente.
Menos de un día es una advertencia, no un reloj universal
Microsoft afirma que la mediana entre descubrir una vulnerabilidad en entornos reales y convertirla en instrumento de ataque ha caído muy por debajo de 24 horas. Esto puede abarcar exploits, escaneo o un flujo de intrusión más amplio. El resumen público no aporta horas exactas, muestra completa, distribución ni metodología detallada. No permite asignar a cada CVE la misma cuenta atrás.
El contraste es con organizaciones que pueden necesitar 30–60 días para corregir fallos críticos expuestos al exterior. Tampoco es un tiempo universal. Un operador cloud puede mitigar rápido, mientras servicios regulados, industriales o clínicos requieren pruebas de compatibilidad y paradas programadas. Identificar activos, atribuir responsabilidades a contratistas, probar, disponer de ventanas de mantenimiento y aprobar cambios explica parte de la demora, pero no elimina la exposición.
La comparación de parches con IA contrasta código actualizado y vulnerable, localiza funciones modificadas y propone entradas que alcancen el camino defectuoso. Los atacantes también organizan huellas de software, registros públicos y credenciales filtradas de muchos objetivos. Pueden aceptar intentos fallidos y seguir; los defensores deben mantener cada sistema operativo. Publicar un parche inicia la reparación y proporciona al adversario más información sobre el defecto.
Los dos relatos incluyen volúmenes distintos: uno proyecta 72.000 vulnerabilidades divulgadas en 2026; otro informa de casi 40.000 CVE en el primer semestre y extrapola aproximadamente el doble para todo el año. No deben fusionarse silenciosamente en una previsión reconciliada. Más divulgaciones pueden reflejar mejor descubrimiento de defectos antiguos, no un deterioro repentino del software.
Responder según la exposición aborda mejor la asimetría que contar parches. Una pasarela de identidad explotada y accesible desde internet puede ser más urgente que un fallo técnicamente más grave detrás de controles sólidos. Aislamiento temporal, restricciones públicas, rotación de credenciales y detección adicional reducen riesgo antes de una actualización permanente. El catálogo CISA aporta pruebas de explotación, pero esperar cada confirmación externa también puede dejar abierto un camino plausible.
Los agentes conectan riesgos, no los sustituyen
El informe distingue usar IA contra sistemas tradicionales de atacar los propios sistemas de IA. Prompts, datos del modelo, infraestructura de servicio, información del usuario, salidas, herramientas e identidades de agentes pueden ser entradas o puentes. Las pruebas de rechazo del modelo no demuestran por sí solas que la aplicación circundante sea segura.
Microsoft clasifica los riesgos en manipulación de prompts, exposición de datos sensibles, compromiso de identidad, capacidad de actuación excesiva y daño a la integridad operativa. El exceso de actuación aparece cuando herramientas permitidas individualmente se encadenan en una acción no aprobada. La integridad incluye prompts, memoria, configuración, datos de entrenamiento, dependencias y registros: cambiarlos puede redirigir conductas futuras sin comprometer el modelo.
Un documento hostil puede ordenar a un agente de búsqueda que divulgue información o invoque otra herramienta. Si lo manipulado se guarda en memoria, puede influir en tareas posteriores. La frontera decisiva separa leer contenido de darle autoridad para provocar acciones. Responsabilidad y alcance de recuperación importan en bases internas de conocimiento como en otros depósitos sensibles.
La identidad también aparece en operaciones norcoreanas de trabajadores informáticos remotos rastreadas como Jasper Sleet y Coral Sleet. La IA ayuda con currículos, personajes falsos, comunicación en otros idiomas y pruebas técnicas. Las credenciales decisivas siguen procediendo del empleador tras una contratación fraudulenta. Es abuso de una relación empresarial de confianza, no simplemente malware generado.
Los operadores prueban además prompts de roles, peticiones reformuladas e instrucciones distribuidas entre interacciones para sortear controles. Salidas aparentemente inocuas pueden ensamblarse fuera del modelo. Persisten límites de fiabilidad: el código falla, los señuelos no funcionan y la automatización puede delatar al atacante.
La afirmación de autonomía tiene un límite importante
Microsoft describe una progresión durante seis meses desde ayudar hasta dirigir y completar autónomamente partes de ataques. También cita una evaluación controlada en la que una IA terminó una secuencia de 32 etapas. Demuestra orquestación en condiciones definidas, no compromiso fiable de empresas arbitrarias con defensas.
Los entornos reales introducen información ausente, dependencias inesperadas, interferencia defensiva y rutas no documentadas que aún requieren experiencia humana. La evaluación más amplia de tácticas de Microsoft describe la mayoría del uso malicioso actual como generación de texto, código y medios, con experimentos agentivos avanzados todavía sin escala. Ambas afirmaciones pueden coexistir si automatización parcial no equivale a autonomía completa.
Los defensores tienen una restricción paralela. El anterior sistema multimodelo de escaneo de Microsoft busca vulnerabilidades y ayuda a repararlas, con un plan anunciado de convertir la capacidad interna en producto para clientes. Una investigación separada informó de hallazgos que llegaban más rápido de lo que algunos equipos de Microsoft podían procesar. Más fallos plausibles solo ayudan si reproducción, priorización, reparación, pruebas y despliegue siguen el ritmo.
La empresa afirma que algunos usuarios de Security Copilot completan resúmenes de amenazas 60–70% más rápido. Mide una tarea del analista, no necesariamente contención o reparación segura. Falsos positivos, asociaciones incorrectas de activos y cambios automáticos perjudiciales siguen siendo contrapesos a relatos optimistas de productividad.
La detección conectada debe rendir cuentas
Considérese phishing mediante proxy inverso que captura credenciales y un token de sesión autenticada. Una sesión posterior accede a correo y nube, copia documentos financieros y añade un método de autenticación para persistir. Sistemas de correo, navegador, identidad y aplicaciones pueden ver solo fragmentos. Relaciones de tiempo, dispositivo, usuario y acceso los convierten en una cronología investigable.
La IA puede agrupar alertas y resumir patrones conocidos para que analistas atiendan rutas nuevas. Pero un agente defensivo con amplios privilegios también es una vía de ataque. Se necesitan identidades distintas y revocables, responsable identificado, credenciales limitadas, autenticación, aprobaciones y contexto auditable. Leer un registro no debe autorizar automáticamente editarlo, enviarlo o ejecutar sus instrucciones.
Microsoft informa de mayor permanencia de atacantes en varios sectores pese a mejorar la respuesta tras detectar. Actuar más rápido una vez entendida la intrusión no significa reconocerla antes. Demostrar que la correlación descubre antes que un producto aislado, acorta desde acceso inicial hasta contención y conserva registros verificables importa más que añadir telemetría.
Una visión amplia sigue siendo particular
Microsoft dice procesar cada día en promedio más de 165 billones de señales de seguridad,31 millones de detecciones de riesgo de identidad y 5.200 millones de correos. La amplitud es valiosa, pero composición de clientes, adopción regional, ajustes y cambios de cobertura influyen en lo visible. Los porcentajes observados no deben presentarse como medidas de toda internet.
La empresa vende también productos integrados de identidad, nube, terminales y seguridad de IA. Su interés comercial no invalida las observaciones, pero correlacionar no exige comprar cada capa a un solo proveedor. Identificadores compartidos, registros normalizados, estándares abiertos y disciplina de incidentes conectan pruebas; la concentración puede extender un fallo a varias capas. El intercambio público-privado añade contexto siempre que proteja información sensible de clientes e investigaciones.
El marco NIST de riesgos de IA ofrece una perspectiva de diseño, despliegue, medición y gobernanza, no sustituye controles de ciberseguridad. Las próximas pruebas útiles son definiciones y distribuciones transparentes del tiempo para preparar exploits, autonomía verificada fuera de laboratorios, menor exposición y permanencia y menos cambios fallidos. La lección inmediata es concreta: la IA reduce el esfuerzo del atacante; los defensores deben conectar identidades, acciones de agentes y activos vulnerables a tiempo para cortar accesos sin romper los sistemas protegidos.
Fuentes y lecturas relacionadas
Digital Defense Report de Microsoft · Conclusiones del informe de octubre · IA en el ciclo de ataque · Límites de acceso a bases de conocimiento · Investigación sobre tácticas con IA · Marco de riesgos de IA del NIST · Análisis del panorama de amenazas · Escaneo y defensa con IA · Investigación sobre correcciones de Microsoft · Catálogo CISA de vulnerabilidades explotadas · Registro de la noticia principal · Registro de la noticia complementaria