La IA acelera el desarrollo de malware, pero no mejora su tasa de éxito

El 26 de agosto de 2026, Unit 42, el equipo de investigación de Palo Alto Networks, publicó un análisis de 405 muestras de malware relacionadas de algún modo con la inteligencia artificial. Cerca del 97% no salió de entornos aislados, repositorios de investigación o pruebas internas para alcanzar un objetivo real.

Unit 42 contrastó los hashes con telemetría de endpoints, sesiones de red enviadas a análisis en sandbox y registros internos de alertas. Solo 12 muestras aparecieron en endpoints activos, mientras que entre 15 y 20 fueron observadas en tráfico de sandbox. Todas las muestras detectadas en equipos protegidos activaron una alerta de seguridad.

Las 12 muestras que llegaron a endpoints reales correspondían a cinco familias de malware distribuidas en tres países, sin concentración destacada por sector o región. La familia más común fue FunkSec, un ransomware que varios investigadores han relacionado con asistencia de LLM. También se identificaron un instalador malicioso que se hacía pasar por la aplicación Recipe Lister, el backdoor Oyster disfrazado de instalador de Dropbox, el ladrón de información Rhadamanthys y una muestra que suplantaba un componente de 360 Total Security.

El archivo que simulaba ser Recipe Lister se propagó por más de 50 organizaciones y generó unos 6.500 registros de endpoint y alrededor de 9.600 alertas. Aunque su firma digital evitó inicialmente algunas sospechas, la combinación de un firmante inusual y un contenido fuertemente empaquetado permitió detectarlo.

Según Unit 42, las defensas existentes identificaron y bloquearon todas las muestras mediante técnicas convencionales, como la detonación en sandbox, la detección basada en comportamiento, el análisis de anomalías en firmas digitales y la evaluación del empaquetado o cifrado. El análisis apunta a que la IA está permitiendo a los atacantes desarrollar y variar sus herramientas con mayor rapidez y menor coste, pero no las hace más difíciles de detectar.

Fuente: SecurityWeek.