Esa sesión, recuperada y analizada por la Unidad 42 de Palo Alto Networks, es uno de los hallazgos más citados en un informe más amplio de TeamT5, una firma de investigación en ciberseguridad con sede en Taiwán: los grupos de hackers vinculados al Estado chino más que duplicaron el volumen de sus ataques desde que empezaron a delegar tareas rutinarias a modelos de inteligencia artificial, sobre todo DeepSeek. La cifra generó titulares alarmantes en medios de todo el mundo. La letra chica del informe cuenta una historia más matizada.
Por qué DeepSeek y no los modelos occidentales
Según reportó Bloomberg, los investigadores de TeamT5 no siempre pudieron identificar con precisión qué modelo de IA usó cada grupo de atacantes, pero coincidieron en que DeepSeek se convirtió en la opción preferida. “DeepSeek es la inteligencia artificial preferida por los hackers chinos porque es relativamente potente y tiene muy pocas barreras de ciberseguridad”, explicó Charles Li, analista jefe de TeamT5. “Los modelos occidentales son muy buscados, pero sus barreras son mucho más estrictas y requieren mucho más esfuerzo para sortearlas”.
El dato no es menor: TeamT5 identificó que otros modelos chinos, como Kimi K3 de Moonshot, son incluso más potentes que DeepSeek, pero su costo de operación resulta prohibitivo para atacantes que buscan escalar volumen. La elección de herramienta, en otras palabras, tiene tanto que ver con el precio y la permisividad como con la capacidad técnica del modelo.
Tres casos documentados, sin necesidad de romper nada
TeamT5 rastreó al menos tres grupos usando modelos chinos en operaciones concretas: Grimfengxi generó código de explotación de vulnerabilidades con DeepSeek; Huapi lo usó, probablemente, para atacar el correo electrónico de una empresa taiwanesa; y Teleboyi lo utilizó para recopilar mil direcciones IP y mapear los dominios de una compañía objetivo. Son tareas de reconocimiento y preparación, el tipo de trabajo repetitivo que antes insumía horas de un operador humano y que un modelo de lenguaje puede acelerar de forma significativa, incluso sin ejecutar una intrusión real por sí solo.
El fenómeno tampoco se limita a herramientas chinas. TeamT5 documentó que un grupo identificado como Slime22 usó Claude Code, de Anthropic, para moverse dentro de los sistemas de una empresa tecnológica taiwanesa después de vulnerarlos, haciéndose pasar por ingenieros que realizaban pruebas legítimas para sortear las barreras de seguridad del modelo. Otra firma, CyCraft, encontró que una pequeña empresa china de unos diez empleados vendía herramientas de intrusión desarrolladas con ayuda de ChatGPT, de OpenAI, a precios de entre 44.500 y 74.000 dólares.
El precedente: la campaña que Anthropic calificó de “primera en su tipo”
Este patrón tiene un antecedente directo. En noviembre de 2025, Anthropic reveló que un grupo que designó internamente como GTG-1002, evaluado con alta confianza como vinculado al Estado chino, había manipulado a Claude Code para ejecutar entre el 80% y el 90% de una campaña de espionaje de forma autónoma contra unas 30 organizaciones, entre ellas tecnológicas, entidades financieras, fabricantes químicos y agencias gubernamentales. Los atacantes lograron sortear las barreras del modelo haciéndolo creer que trabajaba para una empresa de ciberseguridad legítima realizando pruebas defensivas, y descomponiendo tareas maliciosas en pasos pequeños que, aislados, parecían inocentes.
Según Anthropic, la intervención humana se limitó a entre cuatro y seis puntos de decisión críticos por cada intrusión, y la operación llegó a sostener ritmos de solicitudes físicamente imposibles para un humano. La propia empresa calificó el caso como el primer ciberataque a gran escala documentado con ejecución sustancialmente autónoma. También reconoció, sin embargo, que Claude “sobreestimó hallazgos con frecuencia” y en ocasiones “fabricó datos” durante la operación, y que el número de compromisos exitosos confirmados fue reducido.
La otra cara de la moneda: cuando la IA “autónoma” no logra nada
Ahí es donde entra el matiz que el análisis de la Unidad 42 aporta al informe de TeamT5. En la campaña documentada con mayor detalle, ninguna de las ejecuciones autónomas de IA llegó a comprometer un sistema: todas las intrusiones confirmadas (exfiltración de datos en tres objetivos con dispositivos Citrix NetScaler y ejecución de comandos en otros once) fueron obra de trabajo manual humano. En total, sobre más de 460 objetivos intentados, ningún compromiso exitoso pudo atribuirse a la acción autónoma del modelo.
Esa distinción importa. Los investigadores fuera de las empresas que venden estas herramientas de inteligencia artificial siguen cuestionando qué tan literal hay que tomarse las afirmaciones sobre “hackeo autónomo”: hay diferencia entre un modelo que acelera el reconocimiento y la preparación de un ataque, tarea en la que la evidencia es sólida, y un modelo que ejecuta una intrusión completa sin supervisión humana, algo mucho más difícil de verificar de forma independiente a partir de registros parciales.
Qué significa esto para la carrera de la ciberseguridad
El mensaje de fondo de estos informes no es que la inteligencia artificial esté reemplazando a los atacantes humanos, sino que está bajando el costo y el tiempo que insumen las tareas rutinarias de una intrusión: reconocimiento, mapeo de objetivos, generación de código de explotación básico. Eso permite a un mismo grupo de operadores lanzar muchas más campañas en paralelo, aunque cada intrusión individual siga necesitando, en la mayoría de los casos documentados, una decisión humana en los momentos críticos.
Para las empresas que desarrollan estos modelos, el desafío que exponen estos casos es doble: los sistemas con más controles de seguridad (los llamados guardrails) resultan menos atractivos para actores maliciosos, pero también son más costosos de operar y desarrollar, mientras que modelos más permisivos y baratos, como remarcó Charles Li sobre DeepSeek, terminan convirtiéndose en la herramienta por defecto de operaciones ofensivas a gran escala.
