El NCSC advierte que la adopción de inteligencia artificial por actores hostiles acelerará la explotación de vulnerabilidades acumuladas por años de subinversión en seguridad.
El National Cyber Security Centre del Reino Unido proyecta que ataques de ransomware potenciados por inteligencia artificial contra infraestructura crítica británica son altamente probables dentro de los próximos dos años. La advertencia, formulada por Richard Horne, director del NCSC (brazo de ciberseguridad del GCHQ), aparece en la última edición del informe anual State of the Cyber Nation y señala que el abuso de tecnologías de IA está facilitando que atacantes expongan y exploten debilidades de seguridad que las organizaciones han descuidado durante años. Horne argumenta que la subinversión crónica en tecnología y seguridad ha dejado a las organizaciones cargando una deuda técnica que las vuelve vulnerables a escala.
Cómo la IA amplifica vectores de ataque conocidos sin inventar técnicas nuevas
El informe del NCSC identifica que hasta el 88% de todos los ataques observados se originan en solo cuatro vectores: phishing, explotación de aplicaciones expuestas públicamente, abuso de cuentas válidas y explotación de servicios remotos externos. Ninguno de estos vectores es nuevo — representan las mismas fallas que los atacantes han explotado durante décadas. Lo que cambia con la adopción de IA por parte de actores hostiles es la velocidad, escala y eficiencia con que pueden ejecutar estas metodologías existentes, no la aparición de ataques autónomos de principio a fin.
Oliver Spence, CEO de CybaVerse (proveedor de herramientas de operaciones de seguridad), señala que los actores de amenaza rara vez dependen de los medios más complejos o técnicos para lanzar ataques. En cambio, buscan los agujeros más fácilmente explotables en los sistemas de las organizaciones: VPN mal configuradas, vulnerabilidades en plataformas de software de terceros y técnicas de ingeniería social probadas. La IA no representa un cambio radical en las estrategias de los atacantes, sino un multiplicador de fuerza que automatiza la explotación de debilidades organizacionales ya existentes.
El patrón de targeting que el NCSC ya documentó en infraestructura británica durante 2026
El informe sitúa a grupos de amenaza vinculados a estados — particularmente China y Rusia — como los principales antagonistas cibernéticos del Reino Unido. En julio de 2026, el NCSC advirtió que grupos rusos estaban explotando sistemáticamente routers vulnerables y apuntando globalmente a redes mantenidas por proveedores de infraestructura crítica, incluyendo redes de energía y telecomunicaciones. Un mes después, en agosto de 2026, el centro emitió una segunda advertencia sobre el aumento en el targeting de sistemas de tecnología operacional en múltiples sectores a nivel global, incluyendo el Reino Unido.
Estos dos episodios documentados en 2026 muestran que el patrón de explotación de infraestructura crítica ya está activo — la proyección del NCSC sobre ransomware potenciado por IA no describe un escenario hipotético futuro, sino la siguiente iteración de una campaña en curso. La diferencia que introduce la IA es que permite a estos grupos escalar operaciones que antes requerían reconocimiento manual y explotación caso por caso.
Por qué la deuda técnica acumulada convierte a la IA en un riesgo asimétrico
Horne argumenta que la IA puede mejorar la resiliencia cibernética colectiva del Reino Unido, pero solo si las organizaciones primero abordan años de subinversión y debilidades fundacionales antes de construir desde una base más sólida. El esquema Cyber Essentials del gobierno británico — un conjunto de controles básicos de seguridad — debería ser el punto de partida para la seguridad empresarial, no la meta final. La advertencia implícita es que muchas organizaciones han tratado Cyber Essentials como un ejercicio de cumplimiento en lugar de una base mínima sobre la cual construir defensas más profundas.
La semana anterior a la publicación del informe, el gobierno del Reino Unido comprometió 70 millones de libras esterlinas para un nuevo National Exposure and Real-Time Vulnerability Centre (NERV), encargado de identificar vulnerabilidades en infraestructura crítica y la economía, y un nuevo AI Cyber Security Centre of Excellence, operado por el NCSC. La inversión reconoce que la velocidad a la que la IA permite explotar vulnerabilidades conocidas supera la capacidad actual de las organizaciones para parchear y remediar a escala.
Qué significa para América Latina la aceleración de ataques a infraestructura crítica
Aunque el informe del NCSC se centra en el Reino Unido, el patrón de explotación de infraestructura crítica mediante routers vulnerables y sistemas de tecnología operacional mal asegurados no es exclusivo de Europa. América Latina presenta una superficie de ataque estructuralmente similar: redes de energía y telecomunicaciones que dependen de equipamiento de terceros con ciclos de actualización lentos, y sectores de infraestructura crítica donde la inversión en seguridad ha sido históricamente menor que en otras regiones. Brasil y México, en particular, operan redes de energía y telecomunicaciones con componentes de proveedores globales que han sido blanco de los mismos grupos rusos que el NCSC documentó atacando infraestructura británica en julio y agosto de 2026.
La adopción de IA por parte de actores hostiles no requiere que estos grupos desarrollen nuevas capacidades técnicas para la región — simplemente les permite escalar la explotación de las mismas vulnerabilidades que ya conocen en más objetivos simultáneamente. Si el 88% de los ataques en el Reino Unido se originan en cuatro vectores básicos, es razonable asumir que la misma concentración de vectores aplica en América Latina, donde la madurez promedio de los programas de seguridad es menor. La pregunta no es si la región será blanco de ransomware potenciado por IA, sino cuánto tiempo tomará que los grupos que ya operan contra infraestructura crítica global incorporen estas capacidades de automatización a sus campañas en curso.
Nuestro análisis
La proyección del NCSC sobre ransomware potenciado por IA en infraestructura crítica dentro de dos años no es una predicción especulativa — es una extrapolación directa de patrones ya documentados en 2026. Lo que el informe describe es la convergencia de dos tendencias verificables: grupos de amenaza vinculados a estados que ya están explotando sistemáticamente infraestructura crítica (julio y agosto de 2026), y la adopción de IA como multiplicador de fuerza que permite escalar operaciones sin aumentar proporcionalmente los recursos humanos necesarios. El hecho de que el 88% de los ataques se concentren en cuatro vectores conocidos refuerza que el problema no es la sofisticación técnica de los atacantes, sino la persistencia de debilidades fundacionales en las organizaciones objetivo.
La inversión de 70 millones de libras en el NERV Centre y el AI Cyber Security Centre of Excellence reconoce que la velocidad de explotación habilitada por IA supera la capacidad actual de identificación y remediación de vulnerabilidades. El modelo que el Reino Unido está construyendo — un centro nacional que identifica exposiciones en tiempo real y un centro de excelencia que desarrolla contramedidas basadas en IA — podría servir como referencia para América Latina, donde no existe un equivalente regional. Sin embargo, la efectividad de cualquier contramedida basada en IA depende de que las organizaciones primero aborden la deuda técnica acumulada: no se puede automatizar la defensa sobre una base de sistemas mal configurados y sin parchear. ¿Cuántas organizaciones de infraestructura crítica en la región están dispuestas a tratar Cyber Essentials (o su equivalente local) como el piso, no el techo, de su programa de seguridad antes de que la IA convierta sus vulnerabilidades conocidas en incidentes a escala?