La frontera entre malware y agente autónomo de IA acaba de desaparecer. El PROMPTSPY no ejecuta instrucciones fijas, lee la pantalla, piensa y actúa. Es el primer caso documentado de malware Android que usa IA generativa para operar un aparato de forma autónoma. En Tech86, acompañamos esa evolución de cerca, y una cosa es cierta: no va a ser el último.
Qué es el PROMPTSPY
El Google GTIG y la ESET documentaron el PROMPTSPY, el primer malware Android que integra IA generativa para interactuar con la interfaz del aparato. No es un keylogger. No es un spyware convencional. Es un agente de IA que ve la pantalla, calcula dónde hacer clic y ejecuta acciones como si fuera tú.
La diferencia fundamental es conceptual. El malware tradicional sigue un script: si encuentra el botón X, haz clic en la coordenada Y. Si el layout cambia, por actualización del sistema, por diferencia de fabricante, por cualquier razón, el script se rompe. El PROMPTSPY no tiene ese problema. Pregunta a la IA cómo proceder, y la IA responde con base en lo que ve en la pantalla. Funciona en cualquier Android. Cualquier fabricante. Cualquier versión.
El loop de automatización autónoma
El funcionamiento del PROMPTSPY es un loop de agente autónomo. Captura el layout completo de la pantalla en tiempo real, texto, tipo de elemento, posición exacta de cada botón. Serializa todo en XML y envía a la API de Gemini.
Gemini responde con instrucciones JSON: qué gesto ejecutar, en qué coordenada, con qué duración. El malware ejecuta vía Accessibility Service. Captura el nuevo estado de la pantalla. Envía de vuelta. El ciclo se repite hasta que la acción sea concluida.
El GTIG documentó un módulo llamado GeminiAutomationAgent, un prompt que atribuye a Gemini la persona de "asistente de automatización Android". El objetivo declarado: calcular la geometría de la interfaz para interacciones autónomas con el dispositivo. El malware mantiene histórico de prompts y respuestas, permitiendo que Gemini entienda contexto y coordine interacciones de múltiples pasos. Eso no es automatización. Es razonamiento.
Lo que hace en tu celular
Las capacidades del PROMPTSPY van mucho más allá de capturar datos. Él opera el aparato. Un VNC embutido da acceso remoto completo al atacante en tiempo real, tu celular se vuelve un títere controlado de fuera.
Captura PIN y contraseña de desbloqueo. Graba el patrón de desbloqueo en vídeo. Toma screenshots bajo comando. Lista los apps instalados. Monitorea qué app está en primer plano. La llave de API de Gemini es obtenida del servidor de C2, no está hardcoded en el malware. Eso permite que el atacante actualice la llave sin redistribuir el app. Sin embargo, según la ESET, el modelo de IA y el prompt son predefinidos en el código y no pueden ser alterados remotamente.
El módulo de IA es fijo en el código, el prompt y el modelo son predefinidos. Pero la arquitectura de C2 para el VNC y otras funcionalidades es adaptativa, permitiendo que el atacante controle el malware remotamente por otros canales.
La persistencia que cambia el juego
El mecanismo de persistencia del PROMPTSPY es donde la IA generativa hace la diferencia más brutal. El malware usa Gemini para fijar el app en la lista de recientes de Android. En cada fabricante, el gesto es diferente: long press, swipe up, ícono de candado. Hardcoded no funciona en todos los dispositivos. IA generativa funciona.
Gemini analiza el layout específico de tu aparato y devuelve las coordenadas exactas del gesto necesario. Samsung, Xiaomi, Motorola, Pixel, no importa. El PROMPTSPY se adapta a todos.
¿Y si intentas desinstalar? El malware renderiza overlays invisibles sobre los botones "Desinstalar" y "Forzar detención". Tu toque es interceptado por el overlay. Nada pasa. Tocas, nada cambia. La única salida es reiniciar en Modo Seguro, algo que la mayoría de los usuarios no sabe hacer.
Por qué las defensas tradicionales fallan
Los antivirus basados en firma no detectan el PROMPTSPY porque no tiene firma fija. El comportamiento cambia conforme el dispositivo, conforme el prompt, conforme el objetivo del atacante. Los EDRs que monitorean apenas indicadores de compromiso conocidos también quedan ciegos, no hay IoC estable para buscar.
El problema es estructural. La industria de seguridad construyó defensas para malware que sigue scripts. El PROMPTSPY razona. Se corrige si el resultado no es el esperado. Adapta el ataque al contexto. Eso es cualitativamente diferente de cualquier amenaza que hayamos enfrentado antes.
En Tech86, vimos esa evolución llegando. Implementamos monitoreo de comportamiento anómalo en endpoints y defensa autónoma contra amenazas que usan IA. No porque es tendencia, porque el adversario del futuro no sigue scripts. Razona. Y nuestras defensas necesitan razonar también.
Lo que viene después del PROMPTSPY
El PROMPTSPY es el primer caso documentado. No va a ser el último. La arquitectura, capturar pantalla, enviar al LLM, ejecutar respuesta, es replicable con cualquier modelo de IA generativa. No depende de Gemini específicamente. Cualquier API de inferencia sirve.
Lo que nos preocupa en Tech86 no es el PROMPTSPY en sí. Es lo que representa: la democratización del malware adaptativo. Hasta ahora, crear malware que funcionara en múltiples dispositivos exigía conocimiento profundo de cada fabricante. Ahora, basta un prompt bien escrito y una llave de API.
La defensa necesita evolucionar en la misma velocidad. Monitoreo comportamental en tiempo real. Detección de anomalías basada en IA. Respuesta autónoma a incidentes. No basta saber qué hace el malware, necesitamos entender lo que está tentando hacer, aunque el método nunca haya sido visto antes.
Si tu empresa opera dispositivos Android sin protección comportamental, está expuesta. El PROMPTSPY probó que la amenaza no es teórica. Es operacional. Y se está adaptando más rápido que las defensas tradicionales.