Los agentes de inteligencia artificial ya se usan para atacar empresas, pero los casos documentados muestran algo menos espectacular de lo que sugieren los titulares: aceleran el trabajo del atacante, no lo sustituyen. La unidad de investigación de Acronis describió en noviembre de 2026 cómo un único operador en Taiwán coordinó 12 agentes contra organizaciones de 11 países, y en septiembre la Agencia Española de Protección de Datos (AEPD) recibió la primera notificación de una brecha en España atribuida a un agente de IA. La consultora Logixs ha reunido ambos casos en un análisis sobre ciberataques con agentes y Shadow AI, que OpenSecurity ha analizado desde el punto de vista de la seguridad.
Las claves de los ataques con agentes de IA en 20 segundos
- BOSSAI: un atacante, 12 agentes, unas 10 intrusiones confirmadas.
- Los modelos comerciales se negaron; se usaron modelos abiertos modificados.
- Los agentes alucinaban fallos y no se coordinaban solos.
- En España, la AEPD ya registró un caso real.
Para quien sigue la evolución de los agentes, estos casos son interesantes por lo que revelan de sus capacidades reales fuera de las demos: qué partes del trabajo automatizan bien, dónde fallan y qué papel juegan las salvaguardas de los modelos.
Lo que hicieron los agentes de BOSSAI, y lo que no
Según la Threat Research Unit de Acronis, el operador montó una red de 12 agentes, nueve activos, con tareas repartidas: mantenimiento de la infraestructura, escaneo de objetivos e intentos de explotación. En los 12 días que los investigadores la observaron, la operación apuntó a cientos de organizaciones, entre ellas servicios de emergencia, bancos y universidades, y logró unas 10 intrusiones confirmadas en Taiwán, México y Tailandia.
La parte más reveladora es lo que no funcionó. Los agentes no se comunicaban entre sí: el humano copiaba a mano los resultados de uno a otro, así que el sistema era más una cadena de herramientas que un enjambre autónomo. Los agentes también se inventaron vulnerabilidades que no existían, un recordatorio de que las alucinaciones siguen presentes cuando un modelo trabaja sin supervisión. Y donde había autenticación fuerte y buen control de acceso a las API, no consiguieron entrar: las brechas se debieron a fallos clásicos, como secretos expuestos.
Las salvaguardas de los modelos sí frenaron algo
Acronis señala que los modelos comerciales rechazaron casi siempre las peticiones ofensivas, por lo que el atacante recurrió a versiones modificadas de modelos de pesos abiertos como DeepSeek, GLM y Qwen, con un agente basado en Hermes como pieza principal. Es un dato que entra de lleno en el debate sobre modelos abiertos: las barreras de los modelos cerrados elevan el coste del ataque, pero no lo impiden si hay alternativas sin restricciones al alcance.
El caso español va en la misma línea. La AEPD informó el 14 de septiembre de que un tercero había usado un agente apoyado en un modelo de lenguaje conocido para encadenar varias fases del ataque, desde localizar fallos hasta consultar datos personales y facturas. La agencia no identificó la empresa afectada ni el modelo empleado.
El otro riesgo: la IA que la empresa no controla
El análisis de Logixs dedica tanta atención al riesgo interno como al externo. Cita un estudio de Cegid según el cual 8 de cada 10 empleados españoles que usan IA en el trabajo emplean herramientas que no les ha dado su empresa, la llamada Shadow AI, y el informe GenAI Code Security 2025 de Veracode, que detectó fallos de seguridad en el 45 % de las muestras de código generadas por más de 100 modelos. Logixs añade cifras de sus propias auditorías, sin metodología publicada, por lo que conviene tomarlas como indicio.
Sus recomendaciones son conocidas, pero los casos reales las respaldan: dar a los empleados herramientas de IA aprobadas, tratar a cada agente como a un empleado nuevo con permisos mínimos y registro de sus acciones, y revisar de forma continua el código generado con IA.
Preguntas frecuentes
¿Los agentes de BOSSAI actuaban de forma autónoma?
Solo en parte. Cada agente hacía su tarea, pero no se comunicaban entre sí y el operador pasaba a mano los resultados de uno a otro.
¿Qué modelos de IA se usaron en el ataque?
Según Acronis, versiones modificadas de modelos abiertos como DeepSeek, GLM y Qwen, porque los modelos comerciales rechazaban casi siempre las peticiones.
¿Ha habido ataques con agentes de IA en España?
Sí. En septiembre de 2026 la AEPD recibió la primera notificación de una brecha de datos personales atribuida a un agente de IA.
¿Qué es la Shadow AI?
El uso por los empleados de herramientas de IA que su empresa no ha aprobado ni controla.
Fuentes:
