El Centro Criptológico Nacional (CCN) ha publicado la guía Buenas prácticas frente al modelo de IA ofensiva, en la que analiza el impacto de la inteligencia artificial en el ámbito del ciberataque y propone medidas para reforzar la protección de organizaciones públicas y privadas. El documento advierte de que la IA ofensiva ha dejado de ser una amenaza emergente para convertirse en una capacidad operativa integrada en campañas reales de actores criminales y estatales.
La guía señala que la principal consecuencia de la IA es su efecto multiplicador de capacidades: aumenta la velocidad, la escala, la precisión y el grado de autonomía de las técnicas ofensivas ya conocidas. La generación automatizada de correos fraudulentos, el uso de deepfakes, la creación de código dañino, la explotación asistida de vulnerabilidades o el reconocimiento masivo de objetivos pueden ejecutarse ahora con mayor rapidez, precisión y menor conocimiento técnico, advierten desde el organismo público.
Entre las principales amenazas, el informe identifica el phishing avanzado, la suplantación mediante deepfakes, la generación de malware y exploits mediante IA, la automatización del reconocimiento en fuentes abiertas, la ingeniería social automatizada y adaptativa o los ataques a sistemas IA.
Esta evolución tiene implicaciones especialmente relevantes para el sector público por la criticidad de los servicios esenciales, la sensibilidad de la información gestionada, la interdependencia entre organismos y proveedores y la creciente conexión entre entornos IT y OT. De hecho, la automatización ofensiva puede reducir de forma drástica los tiempos de reacción, incrementar la exposición de sistemas críticos y exigir mayores niveles de coordinación, trazabilidad y control, tal y como alerta el CCN.
Medidas frente al modelo de IA ofensiva
En este contexto, el CCN plantea una adaptación basada en cuatro fundamentos: volver a reforzar los controles básicos —como la gestión de identidades, la segmentación, la monitorización continua o el control de accesos—; transformar los procesos IT y OT para integrar la seguridad desde el diseño; construir sistemas resilientes y seguros por defecto; y utilizar la IA como una capacidad defensiva gobernada, con supervisión humana, trazabilidad y límites claros de actuación.
La guía recoge, en este sentido, buenas prácticas aplicables a procesos IT, entornos OT, capacidades de ciberseguridad y uso seguro de agentes de IA. También incluye un decálogo de recomendaciones que resume las prioridades de actuación: reforzar controles esenciales, acelerar la gestión de vulnerabilidades, asegurar identidades y accesos, gobernar el uso de IA, proteger la cadena de suministro y mantener supervisión humana sobre la automatización.
El documento incorpora, además, una hoja de ruta para avanzar de forma progresiva hacia una ciberseguridad adaptada al nuevo contexto: primeros pasos orientados a cerrar brechas básicas, rediseño de procesos para operar al ritmo de las amenazas y construcción de una ciberseguridad agéntica, basada en agentes defensivos gobernados, equipos de pruebas especializados y marcos de control específicos para la IA.
«La publicación del Centro Criptológico Nacional resulta de especial relevancia en estos momentos porque ofrece una respuesta institucional y práctica ante una amenaza que ya no es futura, sino presente, y que exige actuar con urgencia, coordinación y criterios comunes», concluye el organismo.
Archivado en:
