El auge de los hackers de IA: XBOW y el futuro de las amenazas digitales

La IA que iguala a expertos humanos expone los riesgos del futuro digital (Imagen Ilustrativa Infobae)

Una nueva herramienta de inteligencia artificial está encendiendo las alarmas en el mundo de la ciberseguridad. XBOW, desarrollada por exingenieros de GitHub, ha demostrado capacidades que hasta hace poco parecían imposibles: resolver el 75% de los benchmarks de seguridad web de forma autónoma y completar en 28 minutos, lo que a un especialista en pruebas de penetración profesional con 20 años de experiencia le toma 40 horas. Pero lo que preocupa a los expertos no es solo lo que XBOW puede hacer, sino lo que esta tecnología representa para el futuro de las amenazas digitales.

XBOW no es simplemente otra herramienta de seguridad. Es la primera demostración real de que la inteligencia artificial puede igualar las capacidades de los mejores hackers humanos. Desarrollada por un equipo liderado por Oege de Moor, cofundador de GitHub Copilot, y respaldada con 20 millones de dólares por Sequoia Capital, esta plataforma marca un punto de inflexión: si una empresa responsable puede crear un “hacker de IA”, ¿qué impide que actores maliciosos desarrollen versiones destructivas?

XBOW logra en 28 minutos lo que a un profesional de ciberseguridad le toma 40 horas, alertan informes de la industria (Imagen Ilustrativa Infobae)

Según informó WIRED, Katie Moussouris, fundadora y CEO de Luta Security, advierte sobre el inicio del “vibe hacking”: “Vamos a ver personas sin conocimiento previo o conocimiento profundo que podrán decirle a la IA lo que quieren crear y conseguir resolver ese problema”. Esta democratización de capacidades avanzadas de hacking representa una amenaza sin precedentes.

Los resultados de XBOW, según documenta la propia empresa en su sitio web oficial, revelan cuán avanzada está ya esta tecnología:

La proliferación de sistemas autónomos como XBOW plantea desafíos inéditos para la contención y supervisión en ciberseguridad (Imagen Ilustrativa Infobae)

Superioridad técnica demostrada: en pruebas contra 543 benchmarks de PortSwigger y PentesterLab —estándares de la industria para entrenar profesionales—, XBOW resolvió exitosamente el 75%. Más preocupante aún, cuando fue evaluado contra 104 benchmarks completamente nuevos, resolvió el 85%, demostrando que no simplemente memoriza soluciones conocidas.

Velocidad sobrehumana: en una comparación directa documentada por la empresa, Federico Muttis, un consultor de seguridad con más de 20 años de experiencia, necesitó 40 horas para resolver el 85% de 104 desafíos de seguridad. XBOW logró el mismo resultado en 28 minutos. Esta velocidad no es solo impresionante; es aterradora cuando se considera en manos equivocadas.

Impacto real: De acuerdo con HackerOne, durante solo tres meses de desarrollo, XBOW alcanzó el puesto número 11 en Estados Unidos en su plataforma, enviando 65 reportes con 20 hallazgos críticos. Si una versión en desarrollo puede lograr esto, ¿qué podría hacer una versión optimizada para ataques?

Los expertos en ciberseguridad consultados por WIRED están dibujando escenarios inquietantes sobre lo que esta tecnología podría desencadenar:

Ataques Masivos Coordinados: Hayden Smith, cofundador de Hunted Labs, en declaraciones a WIRED, anticipa un futuro donde “20 eventos de día cero” podrían ocurrir simultáneamente. Un solo atacante podría lanzar múltiples vulnerabilidades de alto impacto contra diferentes sistemas en todo el mundo, colapsando infraestructuras críticas.

XBOW revoluciona la ciberseguridad al superar a expertos humanos en velocidad y eficacia de ataques digitales (Imagen Ilustrativa Infobae)

Malware que evoluciona: Smith describe el potencial de malware polimórfico que utiliza IA generativa para “reescribirse mientras aprende sobre la marcha”. Este tipo de amenaza sería “completamente insano y difícil de clasificar”, según el experto citado por WIRED.

La Democratización del cibercrimen: Hayley Benedict, analista de Inteligencia Cibernética de RANE, consultada por WIRED, advierte que la IA “reduce las barreras de entrada al cibercrimen”. Los tradicionales “script kiddies” podrían acceder a capacidades antes reservadas para hackers élite, multiplicando exponencialmente el número de amenazas activas.

La amenaza no es solo teórica. Ya existen precedentes preocupantes documentados por medios especializados:

Herramientas maliciosas previas: según reportó WIRED, desde 2023 han circulado LLMs especializados en generar código malicioso como WormGPT, que se distribuyó “en grupos de Discord, servidores de Telegram y foros de la darknet” antes de ser desactivado. Aunque fueron eliminados, demostraron que existe demanda y capacidad técnica para estas herramientas.

Vulnerabilidades en sistemas comerciales: WIRED informó que los investigadores de seguridad de Trend Micro lograron que ChatGPT generara código malicioso simplemente adoptando el rol de investigadores de seguridad. La facilidad para eludir las salvaguardas es alarmante: basta con afirmar que se participa en un ejercicio de “capture-the-flag”, según reportó el medio.

Lo más preocupante no son los hackers novatos con acceso a IA, sino los grupos establecidos que amplifiquen sus capacidades existentes:

Grupos sofisticados potenciados: Benedict, en entrevista con WIRED, advierte que “los hackers que ya tienen las capacidades y ya tienen estas operaciones” podrán “escalar drásticamente estas operaciones cibercriminales y crear código malicioso mucho más rápido”.

Aceleración imparable: según Moussouris en declaraciones a WIRED: “La aceleración es lo que va a hacer extremadamente difícil controlar” estas amenazas. La velocidad a la que la IA puede generar y ejecutar ataques supera la capacidad humana de respuesta.

Visión desde la industria: en el podcast Training Data de Sequoia Capital, de Moor describió un caso reciente donde XBOW descubrió una vulnerabilidad crítica en una institución que “tiene especialistas en pruebas de penetración humanos constantemente atacándola y tratando de encontrar vulnerabilidades, un presupuesto masivo en seguridad”. La IA “pudo encontrar un archivo completo lleno de contraseñas”, reveló en la entrevista.

criminales, hackers, maldad, tecnología, ciberseguridad (Imagen Ilustrativa Infobae)

Aunque el equipo de XBOW ha implementado controles, según reportó SecurityWeek, estas medidas pueden ser insuficientes:

El problema de la proliferación: SecurityWeek informó que de Moor declaró: “Solo haremos nuestra tecnología disponible a clientes confiables en la nube. Es imposible ejecutar XBOW como una aplicación independiente fuera de nuestro control”. Sin embargo, si una empresa puede desarrollar esta tecnología, otras también pueden, sin garantía de implementar las mismas salvaguardas responsables.

Limitaciones temporales: según HackerOne, la plataforma requiere supervisión humana para sus “Hackbots”, pero los expertos reconocen que esto es “aún” necesario, implicando que la autonomía total es inevitable.

Moussouris, en entrevista con WIRED, enmarca la situación como la evolución natural de una carrera armamentística de 30 años: “Fue de ‘Voy a realizar este hack manualmente’ a ‘Voy a crear una herramienta que cualquiera pueda ejecutar’. La IA es solo otra herramienta, y aquellos que sepan cómo dirigirla apropiadamente serán los que hagan esos frontends vibey que cualquiera podría usar”.

Esta evolución sugiere que estamos en el umbral de una era donde las capacidades de hacking élite estarán disponibles para cualquier persona con acceso a las herramientas correctas.

El impacto de XBOW no ha pasado desapercibido en círculos oficiales. Sequoia Capital, en su podcast Training Data, reveló que tras el anuncio de los resultados, “un montón de personas de DC [Washington] nos llamaron y dijeron ‘Espera un segundo. Esto es muy trascendental’”, según Konstantine Buhler de la firma de inversión.

Cointelegraph reportó que varios expertos en seguridad consideran que los avances en pruebas de seguridad impulsadas por IA podrían beneficiar a la industria crypto, que ya ha sufrido más de 1.400 millones de dólares en hacks este año, pero también reconocen los riesgos inherentes.

XBOW representa más que una innovación tecnológica; es una advertencia sobre el futuro que nos espera. Su existencia demuestra que las capacidades de hacking autónomo no son ciencia ficción, sino realidad actual. La pregunta no es si esta tecnología se democratizará, sino cuándo y qué tan preparados estaremos para enfrentar las consecuencias.

Como observa de Moor en el sitio web de la empresa: “La IA traerá patrones de ataque novedosos que descubra tipos de ataques completamente nuevos”. En este panorama, cada organización debe preguntarse: ¿están preparadas para un futuro donde las amenazas evolucionan a la velocidad de la máquina, no del humano?

La revolución de la IA en ciberseguridad ha comenzado. XBOW nos muestra tanto las posibilidades como los peligros que nos esperan en un mundo donde la línea entre defensa y ataque se vuelve cada vez más difusa.