La inteligencia artificial no solo transforma la manera en que las empresas trabajan. También está cambiando la forma en que operan los ciberdelincuentes. Así lo pone de manifiesto el Informe Threat Hunting 2026 de CrowdStrike, que concluye que la IA se ha convertido simultáneamente en una herramienta para lanzar ataques, en un objetivo prioritario y en un acelerador de las campañas maliciosas.
Según el estudio, los grupos de delincuentes están utilizando la IA para automatizar tareas, desarrollar código malicioso, comprometer plataformas de inteligencia artificial y atacar los modelos de lenguaje (LLM) que cada vez más organizaciones incorporan a sus procesos de negocio.
El informe advierte, además, de que la velocidad con la que actúan algunos grupos de ciberespionaje continúa aumentando. CrowdStrike asegura que varios actores vinculados a China fueron capaces de explotar vulnerabilidades críticas en menos de 24 horas desde que se publicara una prueba de concepto (PoC), reduciendo al mínimo el margen de reacción de las organizaciones.
Índice de temas
Los ataques a la IA y a la cadena de suministro se disparan
Uno de los hallazgos más relevantes del informe es que el ecosistema de la inteligencia artificial se está convirtiendo en un nuevo objetivo para los atacantes. CrowdStrike identifica a un grupo vinculado a Corea del Norte como responsable de introducir un paquete malicioso en 131 frameworks de Mastra, una plataforma open source para crear agentes de IA, una campaña dirigida a comprometer la cadena de suministro del software.
La compañía añade que durante el primer semestre de 2026 el 87% de las amenazas detectadas en registros de software correspondieron a paquetes maliciosos publicados en npm, el popular repositorio utilizado por desarrolladores de JavaScript.
Otro grupo de ciberdelincuentes llegó incluso a comprometer más de 300 dependencias de software en un solo día con el objetivo de robar credenciales y acceder posteriormente a infraestructuras cloud.
Las vulnerabilidades ya se explotan en cuestión de horas
El estudio también refleja cómo se está reduciendo drásticamente el tiempo que transcurre entre la publicación de una vulnerabilidad y su explotación. Durante la primera mitad de 2026, el 88% de los ataques observados por CrowdStrike contra vulnerabilidades con prueba de concepto disponible se produjeron en las primeras 48 horas, mientras que algunos grupos vinculados a China iniciaron campañas de explotación antes de que transcurrieran 24 horas desde la divulgación pública del fallo.
Esta aceleración obliga a fabricantes, distribuidores y proveedores de servicios gestionados a reducir al máximo los tiempos de aplicación de parches y de respuesta ante incidentes.
Los investigadores de CrowdStrike también detectaron un fuerte incremento de la actividad maliciosa dirigida contra infraestructuras cloud.
Las campañas orientadas a este tipo de entornos crecieron un 171% durante el primer semestre del año, impulsadas principalmente por el robo de credenciales, ataques de criptominería, el abuso de modelos de lenguaje y el robo de activos digitales.
Según la compañía, el crecimiento de las cargas de trabajo de IA en la nube está convirtiendo estas plataformas en uno de los principales objetivos de los atacantes.
La IA multiplica la actividad que deben analizar los SOC
El informe señala además que la inteligencia artificial está acelerando el volumen de actividad que deben gestionar los equipos de ciberseguridad.
CrowdStrike observó que las alertas generadas por agentes de IA crecieron 2,5 veces más rápido que las originadas por analistas humanos. En una de las campañas analizadas, un atacante llegó a lanzar cerca de 200.000 consultas contra modelos de IA en apenas dos minutos, una muestra del nivel de automatización que están alcanzando este tipo de operaciones.
Aumentan los ataques contra los sistemas de autenticación
Por último, otra de las tendencias destacadas es el incremento de los ataques dirigidos contra los mecanismos de autenticación considerados de confianza. Las intrusiones mediante vishing (phishing por voz) se duplicaron durante el primer semestre del año, mientras que los intentos de device code phishing, una técnica que aprovecha los flujos de autenticación de dispositivos para secuestrar cuentas, se multiplicaron por 15.
CrowdStrike también documenta casos en los que grupos especializados comprometieron aplicaciones SaaS integradas con sistemas de inicio de sesión único para acceder a información corporativa. En uno de los incidentes analizados, los atacantes necesitaron menos de cinco minutos desde el secuestro de una cuenta hasta la exfiltración de datos.
Para CrowdStrike, todos estos indicadores apuntan a un cambio de escenario: la IA ya no es únicamente una nueva superficie de ataque, sino un elemento central en las operaciones de los ciberdelincuentes. En este contexto, la compañía considera que las organizaciones deberán combinar capacidades de detección en tiempo real, protección de identidades y seguridad de los entornos de IA si quieren mantener el ritmo frente a amenazas cada vez más rápidas y automatizadas.
