Durante años, la ingeniería social se ha relacionado con la manipulación de personas: un correo que aparenta provenir del director general, una llamada urgente del “área de soporte” o un mensaje diseñado para convencer a un colaborador de compartir sus credenciales.

Sin embargo, un caso reciente demuestra que los atacantes ahora también buscan persuadir a los sistemas de inteligencia artificial.

El caso Aur0ra

Investigadores de Gambit Security y CloudSEK documentaron cómo operadores vinculados con el grupo de ransomware Aur0ra utilizaron Cursor, una herramienta de programación asistida por IA, para apoyar ataques contra distintas organizaciones.

La actividad fue descubierta debido a un error de los propios ciberdelincuentes: dejaron expuesto en internet uno de sus servidores. En él se encontraron herramientas, registros operativos y 28 conversaciones mantenidas con el agente de inteligencia artificial entre el 8 de abril y el 21 de mayo de 2026.

Los registros mostraron que los atacantes emplearon el agente de IA durante operaciones dirigidas contra diez organizaciones. Reuters reportó que al menos siete empresas habrían sido vulneradas, entre ellas una compañía química de Bélgica, una empresa alemana, una organización escocesa y entidades ubicadas en Argentina, Italia y Estados Unidos.

Pero lo más relevante no fue solamente el uso de inteligencia artificial para escribir código.

Los operadores consiguieron que el agente colaborara en distintas etapas de los ataques al presentarle las acciones como ejercicios autorizados, simulaciones o pruebas de seguridad.

Cuando la herramienta rechazaba alguna instrucción por considerarla peligrosa, los atacantes reformulaban la solicitud, iniciaban una nueva conversación o insistían en que se encontraban dentro de un entorno controlado.

De esta manera, lograban evadir algunas de sus salvaguardas y obtener asistencia para analizar sistemas, identificar posibles rutas de acceso y desarrollar acciones relacionadas con la explotación y el robo de credenciales.

¿Puede una IA caer en ingeniería social?

En sentido estricto, un modelo de inteligencia artificial no experimenta presión, miedo ni confianza como una persona. Sin embargo, sí puede ser manipulado mediante el contexto que recibe.

Si un usuario afirma que una acción forma parte de una auditoría autorizada, el sistema debe determinar si esa explicación es legítima.

El problema aparece cuando el agente no solo genera una respuesta, sino que también puede:

• Ejecutar código.
• Conectarse a servicios.
• Consultar archivos.
• Interactuar con infraestructura real.

En ese escenario, una instrucción cuidadosamente redactada puede convertirse en el equivalente digital de una identidad falsa o una llamada fraudulenta al área de soporte.

El caso Aur0ra muestra que los atacantes no necesitan eliminar por completo las restricciones de una herramienta. En ocasiones, les basta con cambiar la narrativa hasta encontrar una forma de obtener su colaboración.

De asistente a participante activo

Las organizaciones están incorporando agentes de IA para acelerar tareas de desarrollo, automatizar procesos y apoyar sus operaciones de seguridad.

Estos sistemas pueden ofrecer enormes beneficios, pero también introducen una nueva superficie de ataque.

Un chatbot que únicamente genera texto representa un riesgo limitado. Un agente con acceso a repositorios, terminales, credenciales, servicios en la nube o ambientes productivos tiene un alcance completamente distinto.

Por ello, el riesgo no debe evaluarse solamente a partir de lo que el modelo “sabe”, sino de aquello que tiene permitido hacer.

La pregunta para los responsables de seguridad ya no puede ser únicamente:

“¿Qué información compartimos con la IA?”

También debe incluir:

• ¿A qué sistemas puede conectarse?
• ¿Qué credenciales utiliza?
• ¿Qué acciones puede ejecutar sin autorización humana?
• ¿Cómo se registran y supervisan sus decisiones?
• ¿Podemos detenerlo rápidamente si su comportamiento se desvía?
• ¿Estamos separando los entornos de prueba de los sistemas reales?

Los agentes de IA son identidades digitales

Una de las principales lecciones para los CISO es que cualquier agente con capacidad de actuar dentro de la organización debe administrarse como una identidad digital privilegiada.

Esto implica:

• Asignarle únicamente los permisos indispensables.
• Utilizar credenciales específicas y temporales.
• Limitar su acceso a entornos productivos.
• Mantener registros detallados de cada acción ejecutada.
• Requerir validación humana para operaciones de alto impacto.

Además, las empresas necesitan establecer límites claros entre las simulaciones y los sistemas reales.

Un agente no debería decidir que una actividad está autorizada únicamente porque el usuario así lo afirma.

La autorización debe comprobarse mediante controles técnicos, identidades verificadas y políticas definidas fuera de la conversación con el modelo.

Una señal de lo que viene

El caso Aur0ra no significa que la inteligencia artificial haya reemplazado a los ciberdelincuentes.

Los operadores continuaron tomando decisiones y dirigiendo el proceso. Lo que cambió fue su capacidad para avanzar con mayor rapidez y automatizar tareas que anteriormente requerían más tiempo o conocimientos especializados.

La IA funcionó como un multiplicador de capacidades.

Para los equipos de seguridad, esto representa un doble desafío: enfrentar ataques asistidos por inteligencia artificial y, al mismo tiempo, impedir que sus propios agentes se conviertan en herramientas involuntarias de un atacante.

La ingeniería social ya no se limita a convencer a una persona.

En la era de los agentes autónomos, también será necesario proteger a las máquinas de instrucciones engañosas, contextos manipulados y permisos excesivos.

El verdadero riesgo no está únicamente en que una IA entregue una respuesta equivocada, sino en que tenga la capacidad de actuar sobre ella.