La tasa de duplicación de atacantes con IA alcanza los 4,7 meses: gobierna tus datos ahora

El gobierno del Reino Unido acaba de publicar el indicador más incómodo en ciberseguridad. El AI Security Institute (AISI), brazo de investigación del Departamento de Ciencia, Innovación y Tecnología, ha estado monitoreando qué tan bien los modelos de IA de frontera ejecutan pruebas de penetración multietapa de extremo a extremo, del tipo que un red-teamer humano senior realizaría contra una red corporativa. En noviembre de 2025, la dificultad de las tareas que los mejores modelos podían completar de forma autónoma se duplicaba aproximadamente cada ocho meses. Para febrero de 2026, esa tasa de duplicación cayó a 4,7 meses. Las evaluaciones más recientes de Claude Mythos Preview y GPT-5.5 sugieren que la curva se está acelerando aún más, según AISI.

Conclusiones clave

1. La tasa de duplicación se está acelerando, no estabilizando. Los benchmarks del AI Security Institute del Reino Unido muestran que la dificultad de las tareas cibernéticas que los modelos de IA pueden completar ahora se duplica cada 4,7 meses, frente a cada ocho meses en noviembre de 2025. La tendencia sigue acortándose.
2. Esto es una medición de autonomía, no una afirmación exagerada. AISI mide si la IA puede encadenar exploits multietapa de extremo a extremo con un 80% de fiabilidad en tareas calibradas en horas de expertos humanos. Es un estándar diferente y más exigente que «la IA puede escribir un correo de phishing«.
3. La línea de tiempo del atacante se está comprimiendo más rápido de lo que la del defensor puede adaptarse. CrowdStrike midió un promedio de 29 minutos en tiempos de breakout de eCrime y un aumento interanual del 89% en ataques potenciados por IA antes incluso de que se publicaran los últimos benchmarks de AISI.
4. Los modelos de parcheo y detección ya estaban perdiendo la carrera. Solo el 33% de las organizaciones sabe dónde reside su información confidencial, y la mayoría no puede recuperar datos de entrenamiento de IA comprometidos tras un incidente. Los atacantes más rápidos exponen esas brechas de inmediato.
5. La defensa sostenible se traslada a los propios datos. Cuando el tiempo entre el descubrimiento de una vulnerabilidad y su explotación se acerca a cero, la única superficie de control que sigue vigente es la que gobierna, cifra y audita los datos, sin importar qué exploit los alcance.

Adiós, Ley de Moore. El adversario del defensor ahora tiene una curva exponencial.

Esto no trata de IA escribiendo mejores correos de phishing. El benchmark de AISI está diseñado específicamente para medir la capacidad autónoma: si un modelo puede mantener el contexto a través de múltiples pasos, recuperarse de fallos y completar el tipo de trabajo que un experto humano mide en horas. Kat Traxler, investigadora principal de seguridad en Vectra AI, lo explicó para CSO Online: «Los benchmarks de AISI no miden si los modelos pueden detectar una falla. Más bien, miden si varios modelos pueden encadenar una serie de exploits en ataques funcionales para lograr un objetivo final, como hacen los atacantes reales».

Esa distinción importa. Un modelo que puede encadenar exploits en un ataque funcional no es una herramienta. Es un red-teamer junior que no duerme, no falta al trabajo y mejora más rápido de lo que cualquier presupuesto de formación defensiva puede igualar.

Por qué los números de AISI importan más que las demos de proveedores

AISI es una voz independiente poco común en un sector saturado de afirmaciones de proveedores. Está financiado por el gobierno, es metodológicamente transparente y no vende ningún producto comercial. Cuando AISI dice que la tasa de duplicación se aceleró de ocho a 4,7 meses entre noviembre y febrero, no es un mensaje de marketing. Es el resultado medido de un benchmark controlado que ejecuta los mismos modelos contra las mismas tareas a lo largo del tiempo.

Vale la pena entender la metodología del benchmark. AISI primero mide o estima el tiempo que un experto humano necesita para resolver un reto dado, luego estima la tarea más larga —en horas de trabajo humano— que un modelo de IA puede completar con un 80% de éxito. El dato reportado no es velocidad bruta. Es fiabilidad autónoma en trabajos multietapa. Para completar una tarea larga, el modelo debe mantener el contexto, recuperarse si algo falla y seguir adelante.

Hay algunas salvedades que conviene mencionar. AISI limitó los sistemas de IA a 2,5 millones de tokens para permitir la comparación entre modelos a lo largo del tiempo, lo que restringe la capacidad de los modelos para recordar etapas anteriores del ataque. El benchmark, como todos los benchmarks, es un predictor inexacto del rendimiento en el mundo real. Y como señala el propio AISI, a veces la IA tiene dificultades con tareas fáciles para humanos y resuelve con facilidad tareas difíciles. Ninguna de estas salvedades cambia la tendencia. La pendiente de la capacidad frente a la dificultad se está volviendo más pronunciada, sin importar dónde se sitúe cada modelo.

La tasa de duplicación convive con una ventana defensiva comprimida

La trayectoria de AISI no llega a un panorama de amenazas tranquilo. Llega a uno ya llevado al límite operativo.

El CrowdStrike 2026 Global Threat Report midió un aumento interanual del 89% en ataques atribuidos a adversarios potenciados por IA. Registró el tiempo promedio de breakout de eCrime —el lapso entre el acceso inicial y el movimiento lateral— en 29 minutos, con el más rápido en 27 segundos. Las intrusiones del día cero (Zero-day) previas a la divulgación pública aumentaron un 42%. El 82% de las detecciones en 2025 no involucraron malware, frente al 51% en 2020, porque los atacantes usan credenciales legítimas, herramientas nativas y técnicas humanas que las defensas tradicionales basadas en firmas no pueden detectar.

Analiza los números con honestidad. CrowdStrike recopiló sus datos hasta 2025, antes de que la tasa de duplicación de AISI se acelerara. El aumento del 89%, la ventana de breakout de 29 minutos y el crecimiento del 42% en Zero-day reflejan un panorama de amenazas anterior al salto de capacidad más reciente. Sea lo que sea que diga el próximo informe de CrowdStrike, la tendencia apunta en una sola dirección.

Mientras tanto, el Thales 2026 Data Threat Report encontró que solo el 33% de las organizaciones afirma conocer completamente dónde reside su información confidencial. Dos tercios de las organizaciones del mundo no pueden responder la pregunta que un atacante evaluado por AISI haría primero: ¿Dónde están los datos valiosos?

Esta es la ecuación que ningún memorando de estrategia de seguridad quiere enfrentar. La capacidad del atacante se duplica cada 4,7 meses. La ventana de breakout del defensor es de 29 minutos. Dos tercios de las organizaciones no pueden inventariar sus activos más valiosos. No es una brecha que crece: es un desajuste estructural.

El modelo de CVE y parcheo fue creado para otra década

Cada supuesto en la gestión moderna de vulnerabilidades está calibrado al ritmo de descubrimiento de atacantes humanos. Los proveedores divulgan una falla. NIST la puntúa. Los equipos de seguridad priorizan según la puntuación. Los parches se implementan en días o semanas. Ese ritmo funciona cuando el tiempo entre el descubrimiento de la vulnerabilidad y su explotación se mide en días, a veces semanas.

Esa cadencia ya está fallando. El informe «Mythos-Ready» de la Cloud Security Alliance de abril de 2026 —firmado por Jen Easterly, Bruce Schneier, Chris Inglis y Phil Venables— advirtió que «la ventana entre el descubrimiento y la explotación se ha reducido a horas». NIST admitió a mediados de abril que ya no puede enriquecer la mayoría de los CVE enviados a la National Vulnerability Database, con más de 30.000 entradas sin analizar y «no programadas» como nueva categoría predeterminada. El Dragos 2026 OT/ICS Cybersecurity Report halló que el 15% de los CVE de 2025 tenían puntuaciones CVSS incorrectas —el 64% de esas correcciones aumentaron la puntuación— y que el 25% de los avisos públicos de vulnerabilidades no incluían parche ni recomendaciones de mitigación.

Ahora suma la señal de AISI: los sistemas de IA que hacen el descubrimiento duplican su capacidad cada 4,7 meses. El sistema de referencia del defensor está reduciendo su cobertura a menos de la mitad. El motor de descubrimiento del atacante se está industrializando.

La asimetría es estructural. No es un problema que pueda resolverse con una herramienta, un programa de formación o un SLA de parches.

Por qué la «IA defensiva» es necesaria pero insuficiente

La respuesta más común a los hallazgos de AISI es que los defensores también pueden usar IA. Chris Lentricchia, director de estrategia de seguridad en la nube e IA en Sweet Security, dijo a CSO Online que «la misma aceleración que mejora la capacidad del atacante también puede mejorar la capacidad defensiva en áreas como la detección proactiva de amenazas y la automatización de la respuesta». Tiene razón. La IA defensiva importa. También lo hacen el parcheo más rápido, la mejor telemetría de detección y la automatización mejorada de respuesta a incidentes.

Pero la IA defensiva no resuelve la asimetría subyacente. El atacante solo necesita tener éxito una vez. El defensor debe proteger cada activo, cada cuenta, cada API, cada flujo de trabajo, todos los días. La IA defensiva eleva el piso; la IA atacante eleva el techo. La brecha entre ambas sigue definida por cuánta superficie está expuesta y qué tan bien se gobierna.

Además, existe un problema de supervivencia. La IA defensiva funciona en el SOC, en la consola EDR, en la herramienta de gestión de postura de seguridad en la nube. No funciona bien en el lugar donde realmente se mueven los datos: entre empleados y socios externos, entre aplicaciones y SaaS externos, entre humanos y agentes de IA. La IA defensiva más rápida y fiable del mundo no sirve si la información confidencial ya fue exfiltrada por un canal gobernado pero no monitoreado.

El informe Kiteworks Data Security and Compliance Risk: 2026 Forecast Report encontró que solo el 43% de las organizaciones tiene una puerta de enlace de datos IA centralizada, mientras que el 7% no cuenta con controles dedicados de ningún tipo para el acceso de sistemas de IA a información confidencial. El 50% restante se encuentra en alguna variante de «parcial», «ad hoc» o «distribuido sin política coherente». Esa es la superficie que la IA atacante encontrará primero.

La respuesta arquitectónica: gobierna los datos, no solo las vulnerabilidades

Cuando la curva de capacidad del atacante es exponencial, ningún defensor puede ganar intentando superarla solo con reforzamiento perimetral. La superficie de control debe moverse por debajo del ataque: hacia los propios datos.

Este es el patrón arquitectónico que funciona cuando la cadencia de parches falla. Un dispositivo virtual reforzado con firewall, WAF e IDS integrados para que la seguridad sea una propiedad del producto y no una carga de configuración para el cliente. Control de acceso de confianza cero con aplicación basada en atributos en cada canal de intercambio de datos: correo electrónico seguro, uso compartido de archivos, SFTP, transferencia de archivos gestionada, APIs, formularios web y agentes de IA. Cifrado FIPS 140-3 con claves controladas por el cliente. Registro de auditoría a prueba de manipulaciones entregado al SIEM en tiempo real, sin limitaciones, para que la respuesta a incidentes cuente con registros probatorios que resistan una revisión forense. Aislamiento de tenencia única para que una brecha en un entorno multi-tenant no exponga tus datos por una falla ajena.

Kiteworks fue diseñado específicamente bajo esta tesis. La plataforma unifica gobernanza, seguridad y visibilidad en cada canal que una empresa usa para mover información confidencial, incluyendo el acceso de IA a través de Kiteworks Compliant AI y Secure MCP Server. Cuando Log4Shell impactó a la industria como una vulnerabilidad CVSS 10 en diciembre de 2021, los clientes de Kiteworks la experimentaron como una CVSS 4, porque la arquitectura ya había eliminado las rutas de exploit que una implementación genérica habría dejado expuestas.

El próximo Log4Shell no llegará con un número de CVE adjunto. Llegará como un Zero-day descubierto por un sistema de IA que el mundo aún no ha evaluado. La defensa que resiste es la diseñada para la amenaza que no podemos puntuar de antemano.

Qué deben hacer las organizaciones ahora — no en el próximo ciclo presupuestario

La tasa de duplicación de AISI no es un problema para estudiar. Es un problema para actuar, con los recursos y personas que tienes hoy.

Primero, trata la trayectoria de AISI como un insumo estratégico, no una curiosidad de investigación. Añade la observación de la tasa de duplicación a los informes para el consejo, al registro de riesgos y a los ejercicios de modelado de amenazas. Enfoca la conversación en qué cambia cuando la capacidad del atacante supera la cadencia de parches, porque la respuesta determina cada decisión arquitectónica posterior.

Segundo, audita la brecha entre tu cadencia de detección y la ventana de breakout de 29 minutos. El informe Kiteworks 2026 Forecast Report encontró que solo el 43% de las organizaciones tiene una puerta de enlace de datos IA centralizada, y la mayoría carece de la telemetría unificada necesaria para detectar el movimiento de datos entre canales a la velocidad del atacante. Si tu plan de respuesta a incidentes asume horas de permanencia, está calibrado para la década equivocada.

Tercero, inventaría tus rutas de acceso de IA. Cada copiloto interno, cada agente, cada integración de contexto de modelo, cada API hacia un almacén de datos confidenciales es ahora un posible objetivo de un atacante con IA. Según el informe de Kiteworks, el 7% de las organizaciones no tiene controles dedicados para el acceso de IA. Esas organizaciones no son «early adopters». Son organizaciones sin protección.

Cuarto, recupera la custodia de tus claves de cifrado. Las claves gestionadas en la nube, fragmentadas entre servicios, amplifican el radio de impacto cuando un exploit descubierto por IA alcanza un servicio privilegiado. Claves controladas por el cliente, validación FIPS 140-3 e integración HSM son expectativas mínimas para los próximos doce meses, no diferenciadores.

Quinto, exige registros de auditoría con calidad probatoria en cada canal de intercambio de datos. Kiteworks encontró que el 33% de las organizaciones carece del tipo de registro a prueba de manipulaciones que resiste el escrutinio regulatorio o la discovery en litigios. Cuando un atacante más rápido compromete un sistema más rápido, el registro forense suele ser el único artefacto que distingue un incidente contenido de una brecha reportable.

Sexto, exige a tus proveedores de IA gobernanza en la capa de datos, no solo seguridad en el modelo. Un modelo jailbroken que no puede acceder a tu información confidencial es un incidente contenido. Un modelo seguro con acceso amplio a datos no gobernados está a un solo prompt injection del desastre. La superficie de control relevante son los datos, no el modelo.

La tasa de duplicación no se detendrá para que ninguna organización se ponga al día. Las organizaciones que construyen para la curva ganan. Las que construyen para el paradigma anterior sufren la próxima brecha.