La IA se está convirtiendo en parte del arsenal cibernético de Rusia

Rusia está utilizando la inteligencia artificial para ampliar la escala y la eficiencia de sus operaciones de ciberespionaje dirigidas contra Ucrania y Europa, convirtiendo modelos de IA disponibles comercialmente en una capa adicional de sus capacidades de inteligencia. Una campaña vinculada a hackers respaldados por el Estado ruso utilizó Claude, de Anthropic, para realizar reconocimiento, desarrollar herramientas de ataque, mantener el acceso a sistemas comprometidos y analizar información robada. La operación muestra cómo la IA empieza a ir más allá de su papel de asistente para hackers individuales y a formar parte de la infraestructura operativa de una campaña cibernética más amplia.

Anthropic atribuyó la actividad a un grupo que designó como GTG-20006 y señaló que sus tácticas y objetivos eran coherentes con los del grupo respaldado por el Estado ruso Midnight Blizzard, asociado con el Servicio de Inteligencia Exterior de Rusia. Se atacó a más de 20 organizaciones, entre ellas instituciones gubernamentales, empresas de defensa, organismos diplomáticos y centros de estudios. La mayoría de los objetivos identificados estaban en Ucrania y Europa, aunque la campaña también se extendió a organizaciones de otras regiones.

La importancia de la operación radica en la combinación de las capacidades cibernéticas rusas ya establecidas con la automatización impulsada por IA. Los métodos de fondo —phishing, robo de credenciales, intrusión en redes y compromiso de la cadena de suministro— no son nuevos. Lo que ha cambiado es la velocidad y la escala con que pueden desplegarse, adaptarse y combinarse, lo que potencialmente permite a equipos relativamente pequeños de operadores realizar un trabajo que antes requería grupos más numerosos de personal especializado.

La industria de defensa de Ucrania en el centro

El sector de tecnología de defensa de Ucrania fue una de las áreas de interés más significativas. Los operadores rusos atacaron a empresas dedicadas a la producción de drones y sus componentes, así como a organizaciones que desarrollan sistemas militares no tripulados y tecnologías relacionadas. Sus objetivos incluían obtener acceso a software, información de ingeniería, datos de la cadena de suministro y otro material que pudiera revelar cómo se desarrollan y despliegan las tecnologías de defensa ucranianas.

En un caso, los atacantes obtuvieron un paquete de software completo vinculado a un sistema ucraniano de visión por computadora para drones. Luego pasaron días analizando su arquitectura, componentes de hardware, cadenas de suministro e información sobre un producto que aún no se había lanzado públicamente. Su atención también se extendió a los sistemas de control de drones y al firmware asociado con la visión por computadora basada en IA.

La elección de los objetivos refleja la creciente importancia estratégica del sector de tecnología de defensa de Ucrania. Desde el inicio de la invasión a gran escala de Rusia, las empresas ucranianas han desarrollado rápidamente nuevos enfoques para drones, guerra electrónica, software de campo de batalla y sistemas autónomos. Gran parte de esta innovación ha surgido directamente de las necesidades del campo de batalla, creando un ecosistema de defensa capaz de adaptar tecnologías a una velocidad que los sistemas tradicionales de adquisiciones militares a menudo no logran igualar.

Esa experiencia también ha hecho que la tecnología de defensa ucraniana sea cada vez más relevante para Europa. Los gobiernos europeos ven a Ucrania no solo como un país que necesita apoyo militar, sino también como una fuente de conocimiento práctico sobre drones, guerra electrónica y tecnologías modernas de campo de batalla. La inteligencia recopilada de empresas ucranianas puede, por lo tanto, tener valor para Rusia más allá del esfuerzo de guerra inmediato, en particular si revela tecnologías que podrían influir en futuras capacidades de defensa europeas.

El objetivo ya no es una sola institución

La campaña demuestra por qué los objetivos de ciberespionaje de Rusia se extienden cada vez más más allá de las redes gubernamentales individuales. El acceso a una empresa de defensa puede proporcionar información técnica; el acceso a un proveedor puede revelar relaciones de adquisición; el acceso a una cuenta de comunicaciones puede exponer a las personas detrás de esas redes. En conjunto, estos fragmentos pueden dar a un servicio de inteligencia una imagen mucho más amplia de las capacidades y la toma de decisiones de un adversario.

Los países europeos que apoyan a Ucrania forman un ecosistema de seguridad cada vez más interconectado. Los fabricantes de defensa dependen de subcontratistas, proveedores de software y empresas de logística, mientras que los gobiernos dependen de infraestructura tecnológica privada y plataformas de comunicación. Esto significa que una operación cibernética no tiene necesariamente que vulnerar directamente un sistema gubernamental o militar altamente protegido para obtener información estratégicamente valiosa.

La campaña rusa encaja en ese modelo. Entre los objetivos había agencias gubernamentales europeas, instituciones diplomáticas, organizaciones de defensa, empresas y organismos de investigación. El objetivo no era necesariamente comprometer un único sistema crítico, sino reunir información de múltiples partes del entorno de seguridad europeo.

Este enfoque es especialmente relevante en un momento en que Europa busca ampliar su capacidad industrial de defensa. Los gobiernos de todo el continente están aumentando el gasto militar, ampliando la producción nacional y buscando nuevos proveedores, mientras las empresas desarrollan drones, sensores, software y otras tecnologías a un ritmo acelerado. El ecosistema resultante genera más propiedad intelectual valiosa y más conexiones digitales, y por lo tanto más puntos de entrada potenciales para los servicios de inteligencia extranjeros.

La IA está cambiando la economía del hacking

El aspecto más significativo de la campaña no es que los operadores rusos hayan descubierto una nueva técnica de hacking. Es que la IA les permitió automatizar partes sustanciales del proceso existente.

Claude se utilizó para ayudar con el reconocimiento, la infraestructura de phishing, las tareas relacionadas con credenciales, el desarrollo de malware y el análisis de la información robada. El modelo también podía ayudar a los operadores a resolver problemas técnicos durante un ataque, reduciendo la cantidad de esfuerzo manual requerido en distintas etapas de la operación.

Esto importa porque las campañas cibernéticas sofisticadas han dependido tradicionalmente de equipos con distintas áreas de especialización. El reconocimiento, la investigación de vulnerabilidades, el desarrollo de malware, la intrusión en redes, la recolección de credenciales y el análisis de datos requieren cada uno conocimientos especializados. La IA no elimina la necesidad de experiencia humana, pero puede permitir que un número menor de operadores realice más de estas tareas simultáneamente.

El resultado es un cambio en la economía de las operaciones cibernéticas. El costo de lanzar una campaña contra un gran número de objetivos potenciales puede disminuir si los sistemas de IA pueden realizar investigación repetitiva, analizar información técnica y generar o modificar código. Los atacantes pueden dedicar más tiempo a decidir dónde concentrar sus esfuerzos mientras delegan gran parte de la carga técnica a las máquinas.

Para los defensores europeos, esto crea una asimetría difícil. Los equipos de seguridad ya no pueden asumir que interrumpir una herramienta o bloquear un ataque detendrá necesariamente una operación. Si un adversario puede modificar rápidamente su código o generar enfoques alternativos, el ciclo defensivo se vuelve más corto y más exigente.

La IA puede adaptarse al defensor

Uno de los elementos más reveladores de la operación fue el uso de la IA para responder a las medidas defensivas. Cuando el software de seguridad detectaba componentes maliciosos, los atacantes podían usar la IA para analizar por qué se había identificado el código, modificarlo y preparar otra versión para su despliegue.

Esto crea un bucle de retroalimentación entre ataque y defensa. Tradicionalmente, un operador cibernético podría tener que detener una operación, determinar por qué se había detectado una herramienta, reescribir partes del código y probarlo de nuevo. Con la IA asistiendo a lo largo de ese proceso, el tiempo entre la detección y la adaptación puede reducirse significativamente.

Las implicaciones van más allá de Rusia. Si capacidades similares se generalizan, la barrera para llevar a cabo operaciones cibernéticas sofisticadas podría bajar tanto para actores estatales como no estatales. Una tecnología desarrollada inicialmente para hacer más eficientes el desarrollo legítimo de software y el análisis de información también puede utilizarse para hacer más rápidas y escalables las operaciones maliciosas.

Eso no significa que la IA llevara a cabo la campaña rusa de forma independiente. Los operadores humanos siguieron siendo responsables de seleccionar objetivos, dirigir la operación y tomar decisiones estratégicas. La importancia radica en la división del trabajo: los humanos deciden cada vez más qué quieren lograr, mientras que los sistemas de IA pueden asumir porciones mayores del proceso técnico necesario para lograrlo.

La cadena de suministro se está convirtiendo en un campo de batalla

La campaña también pone de relieve la creciente importancia de la seguridad de la cadena de suministro. Los operadores rusos comprometieron al menos tres proveedores de Wi-Fi de hoteles y obtuvieron credenciales administrativas, y luego manipularon registros DNS para redirigir el tráfico de los usuarios a través de infraestructura bajo su control.

El objetivo no era simplemente comprometer los hoteles. La infraestructura podía utilizarse para recopilar información sobre dispositivos conectados e identificar a personas que podrían ser objetivos valiosos. Entre los de interés había individuos vinculados a Ucrania, incluidos funcionarios gubernamentales y fabricantes de drones.

La táctica ilustra un problema más amplio para la seguridad europea. Las organizaciones suelen invertir mucho en proteger sus propias redes mientras tienen mucho menos control sobre la ciberseguridad de proveedores externos. Sin embargo, un atacante puede utilizar un servicio menos protegido como intermediario y potencialmente obtener información sobre las personas y organizaciones que lo utilizan.

Esto es especialmente difícil en Europa porque las actividades críticas dependen cada vez más de complejas redes de empresas privadas. Las empresas de defensa dependen de proveedores de tecnología, los gobiernos utilizan infraestructura comercial de nube y comunicaciones, y los funcionarios viajan a través de hoteles y otras redes públicas. Los límites entre la infraestructura civil y la estratégica son cada vez más difíciles de definir desde una perspectiva de ciberseguridad.

Las comunicaciones privadas ofrecen otro tipo de inteligencia

La campaña rusa también atacó cuentas de WhatsApp pertenecientes a ex altos funcionarios ucranianos. Los atacantes utilizaron infraestructura automatizada de navegador para conectar cuentas comprometidas como dispositivos adicionales y extraer grandes volúmenes de correspondencia.

El acceso a comunicaciones privadas puede ser especialmente valioso para un servicio de inteligencia porque proporciona información que rara vez está disponible solo a través de documentos oficiales. Los mensajes pueden revelar redes personales, relaciones informales, fuentes, planes y las discusiones en torno a decisiones antes de que se conviertan en política formal.

Esto puede complementar la información obtenida de sistemas gubernamentales o redes corporativas. Una cuenta de correo electrónico comprometida puede mostrar qué ha decidido una organización, mientras que las conversaciones privadas pueden ayudar a revelar por qué se tomó una decisión y quién influyó en ella.

Para Ucrania y sus socios europeos, la amenaza se extiende por lo tanto más allá del robo convencional de datos. La ciberseguridad implica cada vez más proteger las redes de relaciones a través de las cuales se toman decisiones políticas, militares y empresariales.

Las capacidades cibernéticas existentes de Rusia dan a la IA un multiplicador de fuerza

La eficacia de la IA en esta campaña no puede separarse de la infraestructura cibernética y de inteligencia ya existente de Rusia. Los grupos respaldados por el Estado ruso han pasado años desarrollando experiencia en ingeniería social, intrusión en redes, robo de credenciales y ataque a gobiernos e infraestructura crítica.

La IA añade una nueva capa a esa capacidad establecida. Puede procesar grandes cantidades de información, ayudar a identificar patrones, acelerar el desarrollo técnico y permitir a los operadores gestionar más objetivos sin un aumento proporcional de personal.

Esta distinción es importante. La ventaja estratégica no proviene de que la IA actúe de forma independiente, sino de combinarla con operadores de inteligencia experimentados que ya saben cómo seleccionar objetivos y explotar información comprometida.

El mismo principio se aplica a otras áreas de actividad híbrida. Rusia ha construido amplias capacidades en operaciones cibernéticas, desinformación, espionaje e influencia encubierta. Sistemas de IA más capaces pueden potencialmente aumentar la eficiencia de varias de estas actividades al reducir el tiempo y los recursos necesarios para producir contenido adaptado, analizar información o identificar objetivos potenciales.

El rearme defensivo de Europa crea nuevos objetivos de inteligencia

El momento es significativo para el sector de defensa europeo. Los gobiernos europeos están aumentando los presupuestos de defensa, ampliando la producción nacional y buscando reducir la dependencia de proveedores externos. La guerra en Ucrania ha acelerado la inversión en drones, guerra electrónica, inteligencia artificial, comunicaciones de campo de batalla y sistemas autónomos.

Esta expansión crea oportunidades estratégicas para la industria europea, pero también crea un objetivo de inteligencia cada vez mayor para Rusia. La información sobre nuevas líneas de producción, proveedores, componentes, software y planes de adquisición puede proporcionar a Moscú una imagen más clara de cómo evolucionan las capacidades de defensa europeas.

Ucrania es una fuente de información especialmente valiosa porque su industria militar se desarrolla en condiciones reales de campo de batalla. Las empresas ucranianas pueden probar tecnologías contra un adversario tecnológicamente capaz e incorporar rápidamente las lecciones del combate. La inteligencia rusa tiene, por lo tanto, un incentivo para vigilar no solo lo que Ucrania produce hoy, sino también las tecnologías que podrían dar forma a la próxima generación de la guerra europea.

La misma información también puede tener valor militar directo para Rusia. Comprender el software y los componentes utilizados en los sistemas ucranianos puede ayudar a identificar vulnerabilidades, desarrollar contramedidas o anticipar cómo podrían evolucionar determinadas tecnologías.

La frontera entre el ciberespionaje y la competencia militar está desapareciendo

La campaña ilustra un cambio más amplio en la naturaleza de la competencia de seguridad europea. El ciberespionaje ya no se limita a robar documentos diplomáticos o comprometer cuentas de correo gubernamentales. Ataca cada vez más los fundamentos tecnológicos del poder militar.

El software, los datos de ingeniería, los procesos de producción y las relaciones con proveedores pueden ser tan importantes estratégicamente como la inteligencia militar tradicional. A medida que las fuerzas armadas modernas dependen más del software y los sistemas en red, el acceso a la capa digital detrás de un arma puede proporcionar información sobre cómo funciona esa arma, cómo puede ser perturbada y cómo puede evolucionar.

Esto es particularmente visible en el sector de los drones. Los sistemas no tripulados se han convertido en una de las áreas de tecnología militar que más rápido avanzan, con Ucrania desarrollándolos y adaptándolos a un ritmo impulsado por la necesidad del campo de batalla. La carrera tecnológica en torno a los drones se está convirtiendo, por lo tanto, también en una carrera de inteligencia.

La campaña rusa muestra que Moscú intenta participar en esa carrera por medios cibernéticos, buscando información que podría ayudarle a comprender y potencialmente contrarrestar la ventaja tecnológica de Ucrania.

La IA está ampliando la amenaza híbrida

El uso de la IA en el ciberespionaje forma parte de una transformación más amplia de la guerra híbrida. La inteligencia artificial puede ayudar a los actores a moverse más rápido entre el reconocimiento, la recopilación de información, la intrusión cibernética y el análisis, al tiempo que reduce los recursos humanos necesarios para coordinar campañas complejas.

Anthropic también ha identificado un uso indebido de la IA vinculado a aplicaciones militares, vigilancia y operaciones de influencia en las que participan actores de varios países. La tendencia más amplia sugiere que el valor estratégico de la IA ya no se limita a la productividad económica o las aplicaciones civiles. Los gobiernos y los servicios de inteligencia ven cada vez más los modelos avanzados como herramientas que pueden integrarse en las capacidades de seguridad y militares existentes.

Para Europa, esto crea un desafío de política. Restringir el acceso a los modelos de IA puede reducir algunas formas de uso indebido, pero no puede eliminar la demanda subyacente de estas capacidades. Los actores estatales pueden desarrollar sus propios sistemas, utilizar modelos de código abierto o intentar explotar plataformas comerciales.

La respuesta más duradera implica, por lo tanto, fortalecer todo el ecosistema de seguridad en torno a la IA: los proveedores de modelos necesitan una detección de abusos más sólida, mientras que los gobiernos, las empresas y los operadores de infraestructura crítica deben asumir que los ataques cada vez más automatizados formarán parte del entorno de amenazas.

Un nuevo pulso por la tecnología y la información

La operación rusa demuestra que la siguiente etapa del conflicto cibernético no se definirá simplemente por un malware más sofisticado. El cambio más trascendente es la capacidad de combinar las capacidades de inteligencia existentes con sistemas de IA que pueden automatizar grandes partes del proceso operativo.

Para Ucrania, eso convierte al sector de tecnología de defensa en un activo de seguridad particularmente importante. Proteger el software, los datos de ingeniería y las redes de proveedores detrás de los drones y otras tecnologías militares se está volviendo tan importante como proteger las bases de datos gubernamentales.

Para Europa, las implicaciones son más amplias. El continente está construyendo una base industrial de defensa más grande y más interconectada al mismo tiempo que Rusia busca formas de penetrar las redes que la sustentan. Las empresas que producen armas y tecnologías, los proveedores que aportan sus componentes y la infraestructura digital que los conecta forman parte cada vez más del mismo conjunto de objetivos estratégicos.

La IA no cambia fundamentalmente lo que Rusia quiere saber sobre Europa. Cambia la eficiencia con la que Moscú puede intentar obtener esa información. La combinación de operadores de inteligencia experimentados, infraestructura cibernética establecida y herramientas de IA cada vez más capaces da a Rusia otra forma de escalar sus actividades sin necesidad de ampliar su fuerza laboral humana al mismo ritmo.