Para DOBLE LLAVE

______________________________________________________________________________________________

Resumen: La integración de la Inteligencia Artificial (IA) en el ciberespacio ha generado un cambio de paradigma en la seguridad de la información, actuando como un catalizador tanto para la innovación defensiva como para la ofensiva. El presente ensayo analiza cómo los actores maliciosos utilizan modelos de lenguaje a gran escala (LLM) y algoritmos generativos para democratizar el cibercrimen, permitiendo la creación de malware polimórfico y la ejecución de campañas de ingeniería social altamente persuasivas mediante deepfakes. Se examinan fenómenos recientes como los Dark LLMs, la inyección de prompts y el surgimiento de la IA agéntica, concluyendo que la automatización de ataques requiere una evolución urgente hacia defensas proactivas basadas en IA y marcos regulatorios robustos.

Palabras clave: Ciberseguridad, Inteligencia Artificial, Malware polimórfico, Deepfakes, Inyección de prompts, Dark LLMs.

Abstract: The integration of Artificial Intelligence (AI) into cyberspace has generated a paradigm shift in information security, acting as a catalyst for both defensive and offensive innovation. This essay analyzes how malicious actors use Large Language Models (LLMs) and generative algorithms to democratize cybercrime, enabling the creation of polymorphic malware and the execution of highly persuasive social engineering campaigns through deepfakes. Recent phenomena such as Dark LLMs, prompt injection, and the emergence of agentic AI are examined, concluding that the automation of attacks requires an urgent evolution towards proactive AI-based defenses and robust regulatory frameworks.

Keywords: Cybersecurity, Artificial Intelligence, Polymorphic malware, Deepfakes, Prompt injection, Dark LLMs.

Introducción

La convergencia entre la tecnología digital y los procesos industriales ha creado un ecosistema donde la Inteligencia Artificial (IA) ya no es solo una herramienta de optimización, sino un vector crítico de amenaza. En los últimos años, el sector de la ciberseguridad ha presenciado una transformación radical donde la IA ha permitido a ciberdelincuentes, incluso aquellos con escasos conocimientos técnicos, lanzar ataques complejos y difíciles de detectar (Bardají, s.f.). La premisa de que la sofisticación técnica era una barrera de entrada para el cibercrimen ha quedado obsoleta ante la aparición de modelos generativos capaces de escribir código malicioso y diseñar estrategias de evasión avanzadas.

Este ensayo explora el impacto multidimensional de la IA en la ciberseguridad, abordando desde la generación automatizada de malware polimórfico hasta la explotación de vulnerabilidades humanas y técnicas mediante ingeniería social avanzada y ataques adversarios.

La democratización del cibercrimen y los Dark LLMs

La aparición de modelos de lenguaje modificados para eliminar restricciones de seguridad, conocidos como Dark LLMs, ha marcado un punto de inflexión. Herramientas comercializadas en la dark web bajo nombres como WormGPT o FraudGPT permiten generar contenido sin filtros, facilitando la creación de correos de phishing convincentes y la generación de código malicioso funcional en cuestión de minutos (Business Empresarial, 2026).

A diferencia de herramientas comerciales como ChatGPT, que poseen barreras de seguridad, estos modelos «oscuros» y sin restricciones, eliminan la necesidad de conocimientos avanzados de programación, reduciendo costos y tiempos de ejecución para los atacantes. Sin embargo, incluso las herramientas legítimas como ChatGPT-4 han demostrado ser factores de riesgo; estudios recientes indican que esta versión es capaz de explotar vulnerabilidades de tipo zero-day con una precisión del 87%, superando significativamente a sus predecesores (Bardají, s.f.).

La accesibilidad a estas tecnologías ha derivado en la automatización extrema de las ofensivas. Se han documentado casos, como el reportado por Anthropic en septiembre de 2025, donde un ciberataque global fue orquestado casi en su totalidad por una «IA agéntica». En este incidente, el sistema ejecutó entre el 80% y el 90% de las operaciones tácticas sin intervención humana sustancial, abarcando desde el reconocimiento hasta la explotación de vulnerabilidades y la creación de puertas traseras (McAfee, 2026).

Evolución del Malware: Polimorfismo y Evasión

Uno de los desafíos técnicos más graves es la capacidad de la IA para generar malware polimórfico. Este tipo de software malicioso modifica su estructura y apariencia cada vez que se ejecuta, reescribiendo su código y cifrado para evadir la detección de los antivirus tradicionales basados en firmas (Nachreiner, 2023).

Investigaciones recientes han presentado pruebas de concepto como BlackMamba, un keylogger generado con asistencia de IA que utiliza Python para modificar su programa aleatoriamente, dificultando su manejo por los sistemas de seguridad convencionales. La IA permite a este malware aprender del entorno de red y reconocer patrones de verificación de seguridad para ejecutar acciones maliciosas sin levantar alertas (Nachreiner, 2023). Además, los atacantes emplean técnicas de «inyección de instrucciones» (prompt injection), donde disfrazan entradas maliciosas como instrucciones legítimas para manipular a los LLM y forzarlos a filtrar datos o ejecutar acciones no autorizadas, una vulnerabilidad crítica que carece de soluciones infalibles hasta la fecha (Kosinski & Forrest, s.f.).

Ingeniería Social Avanzada: Deepfakes y Phishing

La ingeniería social ha encontrado en la IA generativa un potenciador sin precedentes. La tecnología deepfake permite a los criminales clonar voces e imágenes con alta fidelidad para estafar a individuos y organizaciones. Casos documentados incluyen el uso de deepfakes de voz de altos ejecutivos para autorizar transferencias fraudulentas millonarias y la creación de videos manipulados de figuras públicas para promover estafas (Olney, 2025).

El phishing, tradicionalmente identificable por errores gramaticales o de contexto, ha evolucionado hacia el spear-phishing automatizado. Herramientas como ChatGPT permiten generar textos persuasivos y personalizados a gran escala, eliminando las señales de alerta lingüísticas que anteriormente ayudaban a las víctimas a identificar el fraude (Zscaler, 2024). Asimismo, se ha detectado el uso de IA para crear ofertas de empleo falsas en plataformas profesionales como LinkedIn, dirigiendo a las víctimas a portales fraudulentos para la sustracción de credenciales (Bardají, s.f.).

Nuevas Superficies de Ataque y Regulación

La integración de la IA en procesos industriales y corporativos introduce nuevas superficies de ataque. Los modelos de IA pueden ser víctimas de «ataques de envenenamiento» (data poisoning), donde se introducen datos maliciosos durante la fase de entrenamiento para alterar el comportamiento del modelo, o «ataques de evasión» durante la fase de inferencia (Fuentes, 2025).

Ante este panorama, la regulación se vuelve imperativa. La AI Act de la Unión Europea establece un marco pionero clasificando los sistemas de IA según su nivel de riesgo, prohibiendo prácticas inaceptables como la puntuación social y regulando estrictamente los sistemas de alto riesgo en infraestructuras críticas (Fuentes, 2025).

Conclusión

El impacto de la inteligencia artificial en la ciberseguridad es profundo y bidireccional. Si bien dota a los ciberdelincuentes de capacidades de automatización, polimorfismo y engaño sofisticado, también es indispensable para la defensa moderna. Las soluciones de seguridad tradicionales son insuficientes ante amenazas que mutan y aprenden; por tanto, la adopción de estrategias de Detección y Respuesta Extendida (XDR) y el uso de IA defensiva para la detección de anomalías se vuelven obligatorios (Vectra AI, 2026). La batalla futura en el ciberespacio será, inevitablemente, una confrontación entre algoritmos de inteligencia artificial ofensivos y defensivos.

Referencias Bibliográficas

Bardají, E. (2025, 3 de abril). ChatGPT 4: una vía para crear malware sin conocimientos previos. ESED. https://www.esedsl.com/blog/chatgpt-4-una-via-para-crear-malware

Business Empresarial. (2026, 1 de febrero). Cibercriminales ejecutan el primer ataque global orquestado en 90% por IA y casi sin intervención humana. https://www.businessempresarial.com.pe/cibercriminales-ejecutan-el-primer-ataque-global-orquestado-en-90-por-ia-y-casi-sin-intervencion-humana/

Fuentes, J. P. (2025, mayo). Informe Técnico: Ciberseguridad en Inteligencia Artificial aplicada al sector industrial. Cátedra de Industria Inteligente, Universidad Pontificia Comillas. https://files.griddo.comillas.edu/informe-tecnico-ciberseguridad-en-ia-aplicada-al-sector-industrial-1.pdf

Kosinski, M., & Forrest, A. (s.f.). ¿Qué es un ataque de inyección de prompts?. IBM. https://www.ibm.com/es-es/think/topics/prompt-injection

McAfee. (2026, 8 de enero). El año pasado en estafas: una retrospectiva de 2025 y un adelanto de 2026. Blog de McAfee. https://www.mcafee.com/blogs/es-es/security-news/el-ano-pasado-en-estafas-una-retrospectiva-de-2025-y-un-adelanto-de-2026/

Nachreiner, C. (2023, 23 de junio). ChatGPT puede crear malware polimórfico, ¿y ahora qué?. WatchGuard. https://www.watchguard.com/de/wgrd-news/blog/chatgpt-puede-crear-malware-polimorfico-y-ahora-que

Olney, M. (2025, 24 de marzo). ¿Qué es la ingeniería social con deepfakes y cómo pueden defenderse las empresas?. Integrity360. https://insights.integrity360.com/es/what-is-deepfake-social-engineering-and-how-can-businesses-defend-against-it

Vectra AI. (2026). Detección y respuesta en los puntos finales (EDR): la guía completa de seguridad. https://es.vectra.ai/topics/endpoint-detection-and-responseZscaler. (2024). Perspectivas del sector público: Informe sobre seguridad de la IA de ThreatLabz 2024. https://info.zscaler.com/resources-industry-reports-threatlabz-ai-security-2024?trk=public_post_comment-text

Fuente de imagen referencial: Suministrada por el autor de este análisis

Ver en PDF:

Para DOBLE LLAVE

______________________________________________________________________________________________

Resumen: El presente artículo analiza la estructura organizacional óptima para la gestión de riesgos tecnológicos, abordando la problemática inherente a la subordinación de la ciberseguridad ante la gerencia de Tecnologías de la Información (TI). Se examina la naturaleza fenomenológica de ambos roles, contrastando la filosofía de disponibilidad operativa frente a la de control y resiliencia. A través de la revisión de literatura reciente, estándares internacionales  y la aplicación de la Teoría de la Agencia, se argumenta que la fusión de estas gerencias genera un conflicto de interés estructural que compromete la transparencia del riesgo hacia la alta dirección. Se concluye que la independencia del Oficial de Seguridad de la Información (CISO) es un requisito indispensable para garantizar una auditoría objetiva y una gobernanza corporativa eficaz.

Palabras clave: Ciberseguridad, Seguridad de la Información, Tecnologías de la Información, Gerencia, Conflicto de interés, Gobernanza de TI, CISO, Teoría de la Agencia.

Abstract: This article analyzes the optimal organizational structure for technological risk management, addressing the inherent problems of subordinating cybersecurity to Information Technology (IT) management. It examines the phenomenological nature of both roles, contrasting the philosophy of operational availability against that of control and resilience. Through the review of recent literature, international standards, and the application of Agency Theory, it is argued that the merging of these departments generates a structural conflict of interest that compromises risk transparency toward senior management. It concludes that the independence of the Chief Information Security Officer (CISO) is an indispensable requirement to guarantee objective auditing and effective corporate governance.

Keywords: Cybersecurity, Information Security, Information Technology (IT), Management, Conflict of interest, IT Governance, CISO, Agency Theory.

Introducción

En el ecosistema empresarial contemporáneo, la arquitectura organizacional no es un mero formalismo administrativo, sino un determinante crítico de la capacidad de una entidad para gestionar riesgos. Históricamente, la seguridad de la información ha sido relegada a una función operativa dentro de los departamentos de tecnología. Sin embargo, la sofisticación de las amenazas actuales exige una reevaluación de este modelo.

Este ensayo postula que mantener a la gerencia de Ciberseguridad bajo la tutela de la gerencia de Tecnología (TI) constituye un error estratégico grave. Se explorarán las bases teóricas que demuestran por qué esta estructura fomenta un conflicto de interés insalvable, impidiendo la objetividad necesaria para la protección de los activos críticos de la organización.

Fundamentos Fenomenológicos del Conflicto

Para comprender la necesidad de la separación de roles, es imperativo disectar la naturaleza intrínseca de las funciones en disputa. La discusión sobre la ubicación jerárquica de la seguridad no debe reducirse a un debate sobre el organigrama; se trata de una «confrontación fundamental entre dos filosofías operativas divergentes: la disponibilidad frente al control, y la velocidad frente a la resiliencia».

Mientras que el mandato principal de TI es asegurar la funcionalidad, el rendimiento y la entrega rápida de servicios (uptime), el mandato de la Ciberseguridad es asegurar la disponibilidad, integridad, confidencialidad y auditabilidad, lo que frecuentemente requiere imponer pausas, controles y restricciones a esa misma velocidad operativa. Cuando una sola autoridad debe decidir entre liberar un sistema rápidamente (objetivo de TI) o retrasarlo para corregir vulnerabilidades (objetivo de Seguridad), y dicha autoridad es evaluada por su velocidad de entrega, el conflicto es inevitable y la seguridad suele ser sacrificada.

La Teoría de la Agencia y la Transparencia del Riesgo

Desde una perspectiva académica, la problemática se explica a través de la Teoría de la Agencia. En este contexto, Sánchez (2019) argumenta que la claridad en la atribución de responsabilidades es fundamental para evitar ambigüedades en la gestión. Si el CISO reporta al CIO, existe un incentivo perverso para ocultar hallazgos de seguridad que podrían interpretarse como fallas en la gestión de TI.

Literatura reciente sugiere que la «transparencia de riesgo» mejora radicalmente solo cuando existe una separación funcional efectiva. Como afirman Codina (2022) al discutir la estructura de la investigación científica, la transparencia impone un estándar de calidad; de manera similar, en la gobernanza corporativa, la independencia del CISO garantiza que la auditoría interna no se debilite y que el departamento de TI no actúe como juez y parte.

Marcos Normativos y Estándares de Auditoría

La separación de funciones es una exigencia de estándares internacionales. Al respecto, el Centro Criptológico Nacional (s.f.) establece en sus guías que las responsabilidades de seguridad deben estar claramente diferenciadas de las responsabilidades de explotación de sistemas.

Al igual que en la auditoría financiera, donde quien lleva la contabilidad no puede auditarse a sí mismo, en el ámbito tecnológico es inadmisible que quien configura los servidores sea el responsable final de certificar su seguridad (Auditoría General de la Ciudad de Buenos Aires, s.f.).

Marcos Normativos y Estándares de Auditoría

La separación de funciones no es solo una recomendación teórica, sino una exigencia de estándares internacionales de auditoría y control. Marcos como COBIT (ISACA, 2019) y las normas ISO 27001 (ISO/IEC, 2022) enfatizan la necesidad de segregar las tareas de ejecución de las de control para prevenir fraudes y errores.

La separación de funciones es una exigencia de estándares internacionales. Al respecto, el Centro Criptológico Nacional (s.f.) establece en sus guías que las responsabilidades de seguridad deben estar claramente diferenciadas de las responsabilidades de explotación de sistemas.

Al igual que en la auditoría financiera, donde quien lleva la contabilidad no puede auditarse a sí mismo, en el ámbito tecnológico es inadmisible que quien configura los servidores sea el responsable final de certificar su seguridad (Auditoría General de la Ciudad de Buenos Aires, s.f.).

La ausencia de esta segregación impide una evaluación objetiva de la postura de seguridad y contraviene los principios básicos de control interno citados por organismos de control y auditoría de sistemas.

Conclusión

La ciberseguridad ha trascendido su rol técnico para convertirse en un pilar de la estrategia de negocio. La evidencia teórica y fenomenológica indica que los objetivos de TI y Seguridad, aunque complementarios en su finalidad última de servir al negocio, son operativos divergentes en su ejecución diaria.

Mantener estas funciones unidas bajo una misma línea de mando genera un conflicto de interés estructural que opaca la visibilidad real del riesgo para la alta dirección. Por tanto, es imperativo que las organizaciones modernas emancipen la gobernanza de la ciberseguridad, otorgando al CISO una línea de reporte independiente que garantice la imparcialidad, la transparencia y la resiliencia organizacional ante un panorama de amenazas en constante evolución.

(¡Sigue nuestras noticias en Google! Para obtener información actual, interesante y precisa. Haz clic aquí y conoce todos los contenidos de DOBLE LLAVE. Encuéntranos también en X/Twitter e Instagram)

Referencias

Auditoría General de la Ciudad de Buenos Aires. (s.f.). Normas básicas de auditoría de sistemas. https://www.agcba.gov.ar

Codina, L. (2022). El modelo IMRyD de artículos científicos: ¿qué es y cómo se puede aplicar en humanidades y ciencias sociales?. Hipertext.net, (24), 1-8. https://doi.org/10.31009/hipertext.net.2022.i24.01

Sánchez, C. (08 de febrero de 2019). Normas APA – 7ma (séptima) edición. Normas APA (7ma edición). https://normas-apa.org/

ISACA. (2019). COBIT 2019 (Control Objectives for Information and Related Technologies). http://www.isaca.org

Organización Internacional de Normalización. (2022). Tecnología de la información. Técnicas de seguridad – Sistema de gestión de la seguridad de la información – Requisitos (Norma ISO/IEC 27001:2022).Universidad Nacional de Educación Enrique Guzmán y Valle. (2026). Guía para aplicar el Manual APA, Sétima Edición. Vicerrectorado de Investigación.

Fuente de imagen referencial: Suministrada por el autor del artículo

Ver en PDF:

_