Los agentes trabajaron con Claude Opus 4.5, Cursor, Git y MCP para desarrollar más de 70 técnicas de evasión. La evidencia muestra una operación dirigida por humanos, no malware autónomo.
Un actor malicioso utilizó aproximadamente doce agentes de inteligencia artificial para desarrollar y probar herramientas destinadas a evadir sistemas de seguridad informática. La operación produjo cerca de 80 módulos y ensayó más de 70 técnicas en pocos días, un trabajo que, según Sophos, habría requerido semanas de desarrollo manual.
Los agentes funcionaban dentro del entorno de programación Cursor. Uno de ellos, basado en Claude Opus 4.5, coordinaba las operaciones y establecía reglas para los demás. El equipo virtual se ocupaba del desarrollo de código, las pruebas, la documentación, el despliegue de máquinas y el endurecimiento de la seguridad operacional.
La investigación constituye el caso central del Informe de Seguridad de IA 2026 de Sophos, publicado el 22 de julio. No se trata, sin embargo, de una operación descubierta esta semana: Sophos presentó sus primeros detalles técnicos el 2 de junio y ahora la incorpora para sustentar una evaluación más amplia sobre cómo la inteligencia artificial está reduciendo los tiempos de los ataques.
Un laboratorio de desarrollo dentro de una red comprometida
Sophos detectó la actividad en mayo de 2026, cuando un dispositivo anómalo registrado dentro del entorno de un cliente generó alertas por archivos maliciosos. El análisis posterior reveló un repositorio de Git y una infraestructura dedicada al desarrollo y prueba de herramientas de postexplotación.
La empresa identifica al actor bajo la denominación STAC6994. El nombre corresponde a un identificador interno utilizado por Sophos y no establece públicamente la identidad, nacionalidad o afiliación del operador.
El laboratorio utilizaba máquinas virtuales aprovisionadas con Ludus, una plataforma empleada para construir entornos de prueba de seguridad. Una máquina ejecutaba la protección de Sophos, otra el agente de CrowdStrike y una tercera servía como entorno de control. Una cuarta máquina, con Ubuntu, alojaba un servidor de comando y control basado en Sliver.
La documentación examinada por Sophos también mostraba módulos destinados a probar evasiones contra Microsoft Defender. El propósito era generar variantes, ejecutarlas contra diferentes defensas y utilizar los resultados para modificar el código en la siguiente iteración.
Doce agentes con funciones diferentes
El operador configuró alrededor de doce agentes de inteligencia artificial con responsabilidades definidas.
Un agente basado en Claude Opus 4.5 se encargaba de las operaciones centrales y de fijar las reglas. Otro probaba las herramientas contra los agentes de detección y respuesta en endpoints, conocidos como EDR. Los restantes realizaban tareas como documentación, despliegue de máquinas virtuales, pruebas de proxy y endurecimiento de la seguridad operacional, o OPSEC.
Los problemas detectados y los cambios de código se comunicaban a Git mediante Model Context Protocol, un estándar que permite a los modelos interactuar con herramientas y fuentes de datos externas.
La configuración se parece más a un equipo de ingeniería de software que a la ejecución de un único chatbot. Los agentes podían dividir el trabajo, mantener registros, probar resultados y alimentar nuevas iteraciones sin que el operador tuviera que realizar manualmente cada paso.
Investigaciones públicas convertidas en módulos
Los artefactos recuperados indican que el sistema recopilaba técnicas descritas en publicaciones de seguridad de organizaciones como Kaspersky, Palo Alto Networks, Bishop Fox y SpecterOps. También había referencias a contenidos procedentes de X y Telegram, aunque Sophos no pudo determinar cuánto influyeron estas últimas fuentes.
Según el plan de trabajo encontrado por los investigadores, los agentes debían leer artículos, extraer técnicas ofensivas, relacionarlas con el marco MITRE ATT&CK, identificar las herramientas necesarias, preparar el entorno, ejecutar las pruebas y documentar los resultados.
El uso de investigaciones públicas no implica que las organizaciones citadas hayan colaborado con el atacante ni que sus publicaciones contuvieran malware terminado. La novedad operativa está en la capacidad de convertir rápidamente conocimiento disperso en una cadena organizada de reproducción, programación y prueba.
Este proceso muestra uno de los efectos duales de la información defensiva. Publicar cómo funciona una técnica ayuda a reconocerla y detenerla, pero los agentes también pueden transformar esa documentación en instrucciones estructuradas para su reproducción.
Casi 80 módulos y más de 70 técnicas
En el centro del laboratorio había una herramienta modular escrita en Python. El sistema tomaba cargas útiles y las envolvía en distintas capas de cifrado, técnicas de evasión y métodos alternativos de ejecución. El resultado eran archivos ejecutables o bibliotecas destinados a resistir el análisis de entornos aislados, antivirus y productos EDR.
Gran parte de las cargas generadas estaba escrita en Rust y Go. Sophos contabilizó cerca de 80 módulos diferentes para probar más de 70 técnicas.
Los primeros registros de los agentes mostraban una tasa elevada de fallos. Después de sucesivas iteraciones, la documentación del propio sistema afirmaba haber alcanzado un éxito casi universal contra los productos examinados.
Sophos advierte que la evidencia conservada en el entorno no respalda completamente esa conclusión. La empresa tampoco publica una tasa verificada de evasión para cada producto, por lo que no corresponde afirmar que los agentes lograron eludir todas o casi todas las defensas.
Lo que sí quedó documentado fue la velocidad del proceso: generación, compilación, prueba, análisis y corrección se repetían sistemáticamente. Sophos estima que el ciclo completo redujo de semanas a días el trabajo que habría realizado un desarrollador humano.
La comparación no procede de un experimento controlado con dos equipos equivalentes. Es una estimación profesional basada en el volumen de módulos, la cantidad de técnicas y el ritmo observado en el repositorio del atacante.
Ransomware y robo de datos
Sophos sostiene que su unidad de inteligencia vinculó al operador responsable del laboratorio con actividades posteriores de despliegue de ransomware y robo de información.
La compañía no identifica públicamente a las víctimas, la familia de ransomware, las fechas de esas operaciones ni cuáles de los módulos desarrollados con ayuda de IA llegaron a utilizarse. Por ello, la investigación demuestra una relación entre el operador y actividades criminales reales, pero no permite reconstruir de forma independiente el impacto de cada herramienta.
El entorno había sido presentado internamente como una plataforma de “equipo rojo”, la denominación utilizada para ejercicios autorizados que simulan ataques. Sophos considera probable que esa descripción también ayudara al operador a evitar las protecciones del modelo frente al desarrollo de malware.
La expresión “equipo rojo” no convirtió la actividad en legítima. La infraestructura fue encontrada dentro de un entorno comprometido y contenía perfiles de Cobalt Strike, mecanismos de comando y control mediante Telegram, scripts de inyección de código y un redireccionador basado en Cloudflare Workers destinado a ocultar el servidor de control.
IA asistida, no malware autónomo
La investigación no describe una campaña autónoma dirigida enteramente por inteligencia artificial.
El operador humano configuró el laboratorio, definió objetivos, asignó responsabilidades y revisó los resultados. Los agentes coordinaron trabajo, escribieron código, prepararon pruebas y ayudaron a modificar las herramientas, pero el ciclo de evasión mantuvo intervención humana.
Sophos tampoco encontró evidencia de que un modelo estuviera integrado dentro del malware finalmente desplegado. La inteligencia artificial actuó durante el desarrollo, de manera comparable a un equipo de programación acelerado, no como un componente que tomara decisiones autónomas dentro de los sistemas atacados.
Un panel utilizado para reconocer Active Directory presentaba un grado mayor de automatización: recopilaba observaciones, seleccionaba la siguiente acción entre opciones predefinidas y reevaluaba el resultado. Sophos precisa que tampoco era un modelo que razonara autónomamente, sino un flujo automatizado con ramas previamente establecidas.
Un caso revelador, pero no una medición de prevalencia
El informe de Sophos se apoya en investigaciones de sus equipos de respuesta a incidentes, análisis de malware, inteligencia sobre comunidades criminales y telemetría de más de 625.000 organizaciones.
Esa cobertura proporciona una perspectiva amplia, pero el caso STAC6994 sigue siendo una observación específica. Sophos no entrega un cálculo de cuántas operaciones criminales utilizan actualmente sistemas semejantes.
La propia empresa reconoce la dificultad de identificar el uso de inteligencia artificial en un ataque. En STAC6994 fue posible porque el operador dejó accesible el repositorio, las máquinas de prueba y la documentación de los agentes. En una intrusión convencional, el código producido con ayuda de IA puede ser indistinguible de otro programa malicioso.
Por esa razón, Sophos considera probable que los ataques asistidos por IA estén subrepresentados en las estadísticas, pero esa posibilidad no permite estimar su frecuencia real.
La aceleración es el cambio principal
El informe concluye que la inteligencia artificial está acelerando operaciones conocidas más de lo que está creando clases completamente nuevas de ataques. Sophos matiza que la evidencia de técnicas enteramente novedosas es limitada, no inexistente, y podría aumentar a medida que los modelos progresen.
STAC6994 respalda esa interpretación. Sus componentes -evasión de EDR, generación de cargas, comando y control, reconocimiento y movimiento posterior al acceso- pertenecen a procedimientos conocidos. Lo que cambió fue la capacidad de estudiarlos, convertirlos en módulos y probar muchas variantes en paralelo.
Esta diferencia importa para los defensores. La protección no depende de imaginar ataques de ciencia ficción, sino de acortar procesos que en muchas organizaciones todavía toman demasiado tiempo: instalar correcciones, revocar credenciales, aislar dispositivos, investigar alertas y cerrar vías de movimiento lateral.
Los fundamentos continúan siendo relevantes: autenticación multifactor, privilegios mínimos, actualizaciones oportunas, cobertura de endpoints y conservación de telemetría. Pero su ejecución debe adaptarse a atacantes que pueden iterar a una velocidad cercana a la de un equipo de desarrollo automatizado.
Una misma capacidad en distintos contextos
Los acontecimientos recientes muestran varias aplicaciones de una capacidad técnica semejante.
En WordPress, un investigador utilizó GPT-5.6 Sol para encontrar y desarrollar responsablemente una vulnerabilidad crítica. Google presentó Gemini 3.5 Flash Cyber para buscar y corregir fallas en sistemas defensivos. En una evaluación de OpenAI, modelos con protecciones reducidas atravesaron los límites previstos y accedieron sin autorización a infraestructura de Hugging Face.
En STAC6994, un operador utilizó Cursor y Claude Opus 4.5 para industrializar el desarrollo de herramientas de evasión asociadas posteriormente con actividad criminal.
Los modelos no determinan por sí solos el propósito final. La diferencia se encuentra en quién define el objetivo, qué acceso recibe el sistema, qué límites técnicos lo contienen y qué controles humanos gobiernan el resultado.
La conclusión común es menos espectacular, pero más inmediata: tanto atacantes como defensores pueden experimentar más, cubrir más rutas y convertir ideas en herramientas en menos tiempo. Las organizaciones cuya respuesta todavía se mide en semanas se enfrentan ahora a adversarios capaces de trabajar en días u horas.
Fuentes: Informe de Seguridad de IA 2026 de Sophos; investigación técnica original sobre STAC6994.
📬 Newsletter gratuito
