En algún lugar, en este momento, un malware que se ejecuta en una máquina comprometida está consultando a un modelo de IA para que le genere una nueva versión de sí mismo. El Grupo de Inteligencia de Amenazas de Google detectó este comportamiento a finales de 2025. El malware, apodado PROMPTFLUX, hace esto cada hora que está en funcionamiento, y cada versión es diferente a la anterior. Cuando una herramienta de seguridad aprende a reconocerlo, ya ha vuelto a cambiar de forma.

Esto no es un fallo raro ni un experimento de laboratorio. Es una muestra de cómo funcionan hoy en día una parte creciente de los ataques y de por qué las plataformas SIEM tradicionales, creadas para detectar patrones conocidos, están empezando a quedarse atrás.

Las herramientas de seguridad tradicionales se crearon para detectar, no para adaptarse

Un SIEM es un sistema que recopila registros de toda la red de una empresa y busca señales de ataque. Durante años, funcionó como un guardia de seguridad con muy buena memoria. El guardia aprende cómo es un allanamiento (ciertos tipos de archivo, un patrón de comportamiento, una firma de código) y vigila cualquier cosa que coincida con esos patrones.

Esto funciona bien mientras los atacantes sigan haciendo las cosas de la misma manera. Y durante mucho tiempo lo hicieron. Crear malware nuevo requería tiempo y habilidad reales, por lo que los atacantes reutilizaban el mismo código, las mismas plantillas de phishing y los mismos trucos. Una herramienta de seguridad que recordara esas técnicas podía atrapar la mayoría de lo que llegaba.

La IA rompió esa suposición.

Los atacantes pueden crear algo nuevo cada vez

El Índice de Inteligencia de Amenazas X-Force 2026 de IBM encontró que los atacantes están usando IA para realizar investigaciones, escanear vulnerabilidades y reescribir correos de phishing y malware sobre la marcha. En lugar de inventar técnicas completamente nuevas, están usando IA para acelerar el reconocimiento, descubrir vulnerabilidades más rápido y crear campañas de phishing más convincentes.

Por ejemplo, el informe encontró que el número de grupos de ransomware activos creció un 49% en un solo año, impulsado en gran medida por operadores más pequeños y de corta duración que entraron en el espacio. La barrera de entrada ha bajado: estos grupos reutilizan herramientas filtradas, siguen manuales establecidos y dependen de la IA para automatizar partes de un ataque que antes requerían habilidad, como investigar un objetivo, escribir un señuelo convincente o ajustar el rumbo cuando algo no funciona.

El resultado es que lanzar un ataque requiere menos esfuerzo que antes, y los ataques que una empresa ve este mes pueden no parecerse en nada a los del mes pasado, incluso cuando provienen de copias del mismo manual básico.

La forma más sencilla de decirlo es: un guardia de seguridad que memoriza caras no puede detener a un ladrón que cambia su rostro cada vez que aparece. Esa es la situación en la que se encuentra el SIEM tradicional hoy en día.

Más alertas, menos tiempo y el mismo enfoque antiguo

El problema no es solo que los ataques parezcan nuevos. Es que hay más, y cada uno compite por la atención de un analista.

Cuando un equipo de seguridad tiene que revisar manualmente miles de alertas al día, la mayoría de las cuales son falsas alarmas, ocurren dos cosas: las amenazas reales tardan más en notarse, y los analistas cansados comienzan a saltarse cosas que parecen rutinarias, aunque no lo sean.

El informe de IBM sobre el Costo de una Fuga de Datos 2025 encontró que las empresas tardan un promedio de 241 días en detectar y detener una brecha. Aunque esta cifra tiene una tendencia a la baja, sigue siendo unos 8 meses antes de que alguien atrape a un atacante dentro de una red.

Hay algunas buenas noticias en el mismo informe. Las empresas que usan IA y automatización en sus operaciones de seguridad redujeron el tiempo de respuesta en 80 días y ahorraron casi 1,9 millones de dólares por brecha, en comparación con las que no lo hacen. Las herramientas que usan IA para combatir la IA ya están mostrando una diferencia real y medible.

Una pregunta diferente lo cambia todo

Las herramientas SIEM más antiguas hacen una pregunta una y otra vez: ¿Coincide esto con algo malo que he visto antes?

Un estilo más nuevo de SIEM, construido desde cero con IA, hace una pregunta diferente: ¿Esto parece normal para esta persona, este dispositivo, esta red?

Ese único cambio importa más de lo que parece. He aquí por qué: un atacante puede reescribir el código de su malware cada hora. Lo que es mucho más difícil de cambiar es lo que el malware necesita hacer una vez dentro de una red. Todavía tiene que revisar archivos, encontrar datos valiosos, moverse de una computadora a otra y eventualmente enviar algo hacia afuera. Esas acciones dejan un rastro, incluso cuando el código detrás de ellas se ve completamente nuevo cada vez.

Este enfoque basado en el comportamiento se construye alrededor de algunas ideas clave:

  • Aprende qué es lo normal: en lugar de depender solo de una lista de amenazas conocidas, construye una imagen de cómo suele comportarse cada usuario, dispositivo y parte de la red. Cualquier cosa que rompa ese patrón se marca, incluso si nadie ha visto ese ataque exacto antes.
  • Conecta pequeñas cosas: un inicio de sesión a una hora extraña por sí solo no es mucho. Tampoco lo es una transferencia de archivos ligeramente inusual. Pero cuando el mismo sistema vincula esas dos cosas en un solo caso marcado, un analista puede ver el panorama completo en segundos, en lugar de perderlo en dos alertas separadas de baja prioridad.
  • Necesita menos reglas nuevas para seguir siendo útil: un equipo no tiene que seguir escribiendo reglas de detección para malware que ya cambió de forma cuando la regla se implementa. El sistema se ajusta solo a medida que aprende más sobre el entorno.

Lo que esto significa para las personas que hacen el trabajo

Este cambio modifica el aspecto de un día típico para un analista de seguridad. Se dedica menos tiempo a preguntarse: "¿He visto esto exactamente antes?" y más tiempo a preguntarse: "¿Esto merece un vistazo más de cerca, y con qué más se conecta?"

Ese es un uso más útil del tiempo de un analista capacitado, pero implica confiar en un sistema que marca elementos basados en el comportamiento en lugar de una coincidencia exacta con una amenaza conocida.

A medida que la IA continúa remodelando el panorama de amenazas, el enfoque se centra cada vez más en identificar señales significativas antes y dar a los analistas el contexto que necesitan para investigar con confianza.

Para una mirada más detallada sobre cómo este cambio está transformando las operaciones de seguridad y lo que significa para las estrategias modernas de detección, puedes explorar nuestro libro electrónico, "Finding signal in the noise".

Autor: Austin O'Saben es Gerente de Marketing de Producto en Kaseya, enfocado en soluciones de ciberseguridad para MSPs y pequeñas y medianas empresas. Ayuda a traducir tecnologías de seguridad complejas, como EDR, MDR y seguridad en la nube, en estrategias prácticas que ayudan a los proveedores de TI a proteger mejor a sus clientes. Austin trabaja estrechamente con equipos de producto y seguridad para educar a la comunidad de MSP sobre amenazas emergentes, mejores prácticas y detección moderna de amenazas.