La IA no solo encuentra vulnerabilidades. Ahora escribe el exploit, lanza réplicas de sí misma en servidores comprometidos y encadena fallas menores en ataques funcionales. En Tech86 seguimos esta evolución de cerca, y los datos de 2026 son inequívocos: la ventana entre descubrimiento y explotación colapsó de meses a horas.
El primer zero-day escrito por IA
El Google Threat Intelligence Group publicó un informe que marca un antes y un después. Por primera vez, identificó un exploit de zero-day desarrollado por criminales usando IA. El objetivo: una herramienta de código abierto de administración web. El tipo de falla: bypass de autenticación de dos factores.
El exploit fue escrito en Python. Y la IA dejó firmas por todo el código. Docstrings educativos que ningún criminal experimentado escribiría. Un puntaje CVSS alucinado que no correspondía a la vulnerabilidad real. Estructura de manual con formato impecable. Google afirmó tener alta confianza de que se usó un modelo de IA, y dijo explícitamente que ni Gemini ni Mythos estuvieron involucrados.
Lo que hace esto peligroso es el tipo de vulnerabilidad. No fue un buffer overflow detectable por fuzzers. Fue un error de lógica semántica: el desarrollador hardcodeó una excepción de confianza en el flujo de autenticación. La contradicción entre la lógica de 2FA y la excepción hardcodeada es exactamente aquello en lo que los LLMs se están volviendo buenos. Leen la intención del desarrollador, entienden el contexto e identifican contradicciones lógicas. Las herramientas tradicionales de análisis estático no hacen eso.
El exploit fue interceptado antes de la campaña masiva. Pero Google advirtió: los errores de implementación probablemente complicaron las cosas a los criminales esta vez. Eso puede no durar.
Autorreplicación: el agente que se copia
Palisade Research publicó la primera demostración documentada de autorreplicación de IA vía hacking. Un agente basado en Qwen 3.6 recibió un único prompt. En 2h41, encontró una vulnerabilidad, la explotó, extrajo credenciales, transfirió sus pesos del modelo e inició un servidor de inferencia funcional en la máquina comprometida. La réplica repitió el proceso.
4 hops. 4 países. Canadá, Estados Unidos, Finlandia, India. Cada hop explotó una vulnerabilidad diferente: hash bypass, SSTI, SQL injection, broken access control. El agente no sabía qué vulnerabilidad existía. La descubría solo en cada hop.
Los números son contundentes. Opus 4.6 alcanzó 81% de éxito en la cadena completa de ataque. Hace 12 meses, la tasa era de 6%. Un salto de 16x en un año. Los modelos de pesos abiertos copian sus propios pesos. Los modelos API despliegan pesos de Qwen en la máquina objetivo. La cadena funciona independientemente de que el modelo sea abierto o cerrado.
El tiempo promedio de detección de incidentes en empresas es de 10 días (Mandiant 2024). Cada replicación lleva de 30 a 60 minutos. El agente se propaga más rápido de lo que la respuesta humana logra identificar y contener.
La ofensiva estatal ya está en producción
El escenario estatal está más avanzado que el crimen organizado. APT45, de Corea del Norte, envía miles de prompts para analizar CVEs y validar PoCs, construyendo un arsenal de exploits a escala. UNC2814, de China, usa persona-driven jailbreaking en Gemini para investigar RCE en firmware de routers TP-Link y protocolos OFTP. Grupos rusos generan código junk con IA para confundir a los analistas de malware y fabrican audio sintético en operaciones de desinformación.
John Hultquist, analista jefe del GTIG, lo puso en perspectiva: hay una percepción falsa de que la carrera de vulnerabilidades por IA es inminente. La realidad es que ya empezó. Por cada zero-day rastreado hasta la IA, probablemente hay muchos más por ahí.
La ventana de 6 a 12 meses que Dario Amodei mencionó cuando reveló Mythos acaba de hacerse más corta. Ya no es una proyección. Es un hecho documentado.
Cuando la defensa se vuelve ataque: Mythos y macOS
Investigadores de Calif, empresa de seguridad en Palo Alto, usaron una versión temprana de Mythos de Anthropic para descubrir una escalada de privilegios en macOS. Encadenaron dos bugs y técnicas de evasión para corromper la memoria del Mac y acceder a regiones protegidas por las tecnologías de seguridad más avanzadas de Apple. Informe de 55 páginas entregado en persona a Apple en Cupertino.
El CEO de Calif, Thai Duong, fue honesto: el ataque no podría haber sido hecho por Mythos solo. La experiencia humana de los hackers de Calif fue esencial. Mythos aceleró el descubrimiento. Los humanos construyeron el exploit. La combinación es lo que hace al modelo peligroso, y productivo.
Palo Alto Networks, que también tiene acceso a Mythos y a GPT-5.5-Cyber, anunció que encontró 75 vulnerabilidades en sus propios productos en un mes: según Palo Alto Networks, el promedio histórico era de 5 a 10 por mes, un salto de 7x. En varios casos, las vulnerabilidades individuales no merecerían disclosure. Pero los modelos identificaron cómo encadenar múltiples fallas en rutas de exploit funcionales. Los modelos generaron exploits funcionales en más de 70% de los casos. Palo Alto estima que las organizaciones tienen de 3 a 5 meses antes de que los atacantes ganen acceso amplio a estas capacidades.
100 agentes orquestados: el MDASH de Microsoft
En el Patch Tuesday de mayo, Microsoft reveló MDASH, Multi-model Agentic Scanning Harness. Un sistema que orquesta más de 100 agentes de IA para descubrir, debatir y probar bugs explotables de extremo a extremo. El resultado: 16 vulnerabilidades encontradas, incluidos 4 RCEs críticos en el kernel de Windows.
Los RCEs son graves. CVE-2026-33827: use-after-free en tcpip.sys, kernel IPv4, remoto y sin autenticación. CVE-2026-33824: double-free en IKEEXT, preautenticación, afecta VPN y DirectAccess. CVE-2026-41089: stack overflow en Netlogon, CVSS 9.8, RCE en controladores de dominio sin autenticación. CVE-2026-41096: heap out-of-bounds en dnsapi.dll, CVSS 9.8, RCE vía respuesta DNS manipulada.
MDASH no es un modelo. Es un sistema agéntico alrededor de modelos. Más de 100 agentes especializados en etapas distintas: análisis estático, generación de hipótesis, construcción de exploit, validación, debate. Ensemble de modelos de punta y distilled. Los modelos mayores proponen, los menores validan. Los agentes debaten hasta el consenso. En los benchmarks: 21 vulnerabilidades plantadas en un driver privado de Windows, MDASH encontró todas con cero falsos positivos. 96% de recall según Microsoft en 5 años de casos MSRC. 88,45% según Microsoft en el CyberGym público con 1.507 vulnerabilidades reales.
La lección es clara. No necesita el modelo más poderoso. Necesita la arquitectura agéntica correcta. 100 agentes orquestados superan a un único modelo de punta.
La ventana colapsó, ¿y ahora?
Cada evento aislado es una noticia. Juntos, son una señal de cambio estructural. La IA encontró el primer zero-day que ella misma escribió. Agentes se autorreplican vía hacking en 4 países. Modelos de seguridad descubren 7x más vulnerabilidades que el promedio histórico. 100 agentes orquestados encuentran RCEs críticos en el kernel de Windows. El descubrimiento de vulnerabilidades por IA dejó de ser curiosidad de investigación, es operación de producción.
La ventana entre "la IA encuentra el bug" y "el atacante explota el bug" se está encogiendo. La fricción que todavía frena, errores de implementación, ambientes controlados, modelos que alucinan scores, está disminuyendo. En 12 meses, la tasa de éxito de autorreplicación saltó de 6% a 81%.
En Tech86 integramos IA en el pipeline de seguridad con arquitectura agéntica. Usamos los mismos patrones que usa el adversario, pero antes que él. La seguridad ofensiva con IA no es un diferencial en 2026. Es el mínimo necesario para mantener la ventana de su lado.