Google frena el primer zero-day desarrollado con IA

Por primera vez, Google ha detectado una vulnerabilidad zero-day desarrollada por ciberdelincuentes con ayuda de inteligencia artificial. La amenaza estaba pensada para un ciberataque masivo y coordinado, que se detuvo antes de materializarse.

Una amenaza para los administradores

Google Threat Intelligence Group (GTIG) identificó una grave amenaza de un grupo de ciberdelincuentes que planeaban usar una vulnerabilidad zero-day para eludir la autenticación de dos factores. El objetivo era una herramienta abierta de administración de sistemas web, muy utilizada en el sector empresarial. La vulnerabilidad habría dado acceso completo a los sistemas de los administradores en numerosas organizaciones.

Los ciberdelincuentes preparaban un ataque coordinado que habría alcanzado varios objetivos a la vez. No se trataba solo del desarrollo de un exploit, sino de una operación completa orientada a la explotación masiva. Según el plan de los atacantes, vulnerar la protección de dos factores habría abierto la puerta a todos los sistemas de administración de las organizaciones afectadas. Un escenario así podría haber comprometido a miles de empresas.

Cómo supieron que la IA había ayudado

En el código fuente del exploit, los investigadores de Google hallaron señales claras de que se creó con una red neuronal. El análisis del script en Python reveló artefactos extraños, típicos del contenido generado por LLM:

• Puntuaciones CVSS alucinadas — valores de gravedad incorrectos e inventados, que no se corresponden con el peligro real
• Formato estructurado — el código estaba formateado al estilo de un manual, con una regularidad poco habitual en este tipo de exploits
• Estilo de escritura extraño — una forma de comentar y nombrar variables característica de los grandes modelos de lenguaje
• Lógica inusual — algunos fragmentos del script contenían una secuencia de operaciones rara que funciona, pero resulta poco natural

Estos rasgos aparecen cuando un LLM genera código para tareas especializadas sin comprender del todo el contexto de seguridad ni los requisitos de los exploits. Una red neuronal puede seguir la sintaxis, pero no siempre capta la semántica.

«Esto demuestra una evolución peligrosa de las ciberamenazas.

Si antes la IA ayudaba sobre todo en ataques masivos de phishing, ahora ayuda a crear exploits serios y dirigidos», señalan los investigadores de Google en su informe.

El peligro de una barrera de entrada más baja

Es el primer caso documentado en que se usó IA generativa para desarrollar un exploit zero-day. Antes, la inteligencia artificial se empleaba en ciberataques, pero sobre todo para automatizar envíos de phishing, crear perfiles falsos y hacer ingeniería social. Un exploit zero-day es un nivel de peligro completamente distinto.

La principal consecuencia del hallazgo es que la barrera de entrada para desarrollar ciberamenazas serias baja drásticamente. Los ciberdelincuentes ya no necesitan contratar desarrolladores con experiencia en arquitectura de aplicaciones web y vulnerabilidades. Pueden pedir a ChatGPT, Claude u otro gran modelo de lenguaje que les ayude con el código del exploit. Aunque el código tenga errores (como esas mismas puntuaciones CVSS alucinadas), el exploit seguirá siendo funcional y peligroso. Esto significa que el número de ciberamenazas puede aumentar de forma brusca, porque el desarrollo será más accesible.

Qué significa para las empresas

El hallazgo de Google apunta a una aceleración de todo el ciclo de desarrollo de ciberamenazas. Las empresas deben reaccionar aún más rápido ante nuevas vulnerabilidades y aplicar los parches de nivel crítico. Retrasar un parche una semana puede ser peligroso.

Para las grandes organizaciones, esto implica invertir no solo en seguridad perimetral, sino también en monitorización de anomalías, detección rápida de tráfico sospechoso dentro de la red y preparación ante incidentes. Los exploits desarrollados con IA pueden ser menos sofisticados, pero serán más numerosos y aparecerán más rápido.