Google reveló el lunes que identificó a un actor de amenazas desconocido utilizando un exploit de día cero que, según dijo, probablemente fue desarrollado con un sistema de inteligencia artificial (IA), lo que marca la primera vez que la tecnología se utiliza en la naturaleza en un contexto malicioso para el descubrimiento de vulnerabilidades y la generación de exploits.

Se dice que la actividad es obra de actores de amenazas de delitos cibernéticos que parecen haber colaborado juntos para planificar lo que el gigante tecnológico describió como una «operación de explotación masiva de vulnerabilidades».

«Nuestro análisis de los exploits asociados con esta campaña identificó una vulnerabilidad de día cero implementada en un script Python que permite al usuario evitar la autenticación de dos factores (2FA) en una popular herramienta de administración de sistemas basada en web y de código abierto», dijo Google Threat Intelligence Group (GTIG) en un informe compartido con The Hacker News.

El gigante tecnológico dijo que trabajó con el proveedor afectado para revelar responsablemente la falla y solucionarla para interrumpir la actividad de manera proactiva. No reveló el nombre de la herramienta.

Aunque no hay evidencia que sugiera que la herramienta Gemini AI de Google se haya utilizado para ayudar a los actores de amenazas, GTIG evaluó con alta confianza que se utilizó un modelo de AI para facilitar el descubrimiento y la utilización de la falla a través de un script Python que presentaba todas las características típicamente asociadas con el código generado por el modelo de lenguaje grande (LLM).

«Por ejemplo, el guión contiene una gran cantidad de cadenas de documentación educativa, incluida una puntuación CVSS alucinada, y utiliza un formato Pythonic de libro de texto estructurado muy característico de los datos de entrenamiento de LLM (por ejemplo, menús de ayuda detallados y la limpia clase de color _C ANSI)», agregó GTIG.

La vulnerabilidad, descrita como una omisión 2FA, requiere credenciales de usuario válidas para su explotación. Surge de una falla de lógica semántica de alto nivel que surge como resultado de una suposición de confianza codificada, algo que los LLM destacan en detectar.

«La IA ya está acelerando el descubrimiento de vulnerabilidades, reduciendo el esfuerzo necesario para identificar, validar y convertir las fallas en armas», dijo Ryan Dewhurst, jefe de inteligencia de amenazas de watchTowr, a The Hacker News en un comunicado. «Esta es la realidad actual: el descubrimiento, la utilización de armas y la explotación son más rápidos. No nos dirigimos hacia líneas de tiempo comprimidas; hemos estado observando cómo se comprimen las líneas de tiempo durante años. No hay piedad por parte de los atacantes y los defensores no pueden optar por no participar».

El desarrollo se produce cuando la IA no solo actúa como un multiplicador de fuerza para la divulgación y el abuso de vulnerabilidades, sino que también permite a los atacantes desarrollar malware polimórfico y realizar operaciones de malware autónomas, como se observa en el caso de PromptSpy, un malware de Android que abusa de Gemini para analizar la pantalla actual y proporcionarle instrucciones para fijar la aplicación maliciosa en la lista de aplicaciones recientes.

Una investigación más profunda de la puerta trasera ha descubierto un conjunto más amplio de capacidades para permitir que el malware navegue por la interfaz de usuario de Android y monitoree e interprete de forma autónoma la actividad del usuario en tiempo real para determinar el siguiente curso de acción utilizando un módulo de agente autónomo.

PromptSpy también está equipado para capturar datos biométricos de la víctima para reproducir gestos de autenticación, como un PIN de pantalla de bloqueo o un patrón, para recuperar el acceso a un dispositivo comprometido. Además de eso, es capaz de evitar la desinstalación mediante el uso de un módulo «AppProtectionDetector» que identifica las coordenadas en pantalla del botón «Desinstalar» y ofrece una superposición invisible justo sobre el botón para bloquear los eventos táctiles de la víctima y dar la impresión de que el botón no responde.

«Si bien PromptSpy se inicializa utilizando infraestructura y credenciales predeterminadas codificadas, el malware está diseñado con una alta resiliencia operativa, lo que permite a los adversarios rotar componentes críticos en tiempo de ejecución sin volver a implementar la carga útil de PromptSpy», dijo Google.

«Específicamente, la infraestructura de comando y control (C2) del malware, incluidas las claves API de Gemini y el servidor de retransmisión VNC, se puede actualizar dinámicamente a través del canal C2. Este modelo de configuración demuestra que los desarrolladores anticiparon contramedidas defensivas y diseñaron la puerta trasera para mantener la presencia incluso si los defensores identifican y bloquean puntos finales de infraestructura específicos».

Google dijo que tomó medidas contra PromptSpy al desactivar todos los activos relacionados con la actividad maliciosa. No se han descubierto aplicaciones que contengan malware en Play Store. Algunos otros casos de abuso específico de Gemini detectados por Google se enumeran a continuación:

• Un presunto grupo de ciberespionaje de China-nexus denominado UNC2814 impulsó a Gemini pidiéndole que asumiera el papel de un experto en seguridad de redes para activar el jailbreak impulsado por personas y respaldar la investigación de vulnerabilidades en objetivos de dispositivos integrados, incluido el firmware TP-Link y las implementaciones del Protocolo de transferencia de archivos Odette (OFTP).
• El actor de amenazas norcoreano conocido como APT45 (también conocido como Andariel y Onyx Sleet) envió «miles de mensajes repetitivos» que analizan recursivamente diferentes CVE y validan exploits de prueba de concepto (PoC).
• Un grupo de hackers chino conocido como APT27 aprovechó Gemini para acelerar el desarrollo de una aplicación de gestión de flotas con el objetivo de gestionar probablemente una red operativa de cajas de retransmisión (ORB).
• Un grupo de actividades de intrusión del nexo con Rusia se dirigió a organizaciones ucranianas para entregar malware habilitado para IA denominado CANFAIL y LONGSTREAM, los cuales utilizan códigos señuelo generados por LLM para ocultar su funcionalidad maliciosa.

También se ha encontrado a los actores de amenazas experimentando con un repositorio especializado de GitHub llamado «wooyun-legacy» que está diseñado como un complemento de habilidad de código Claude que presenta más de 5,000 casos de vulnerabilidades del mundo real recopilados por la plataforma china de divulgación de vulnerabilidades WooYun entre 2010 y 2016.

«Al preparar el modelo con datos de vulnerabilidad, se facilita el aprendizaje en contexto para dirigir el modelo para abordar el análisis de código como un experto experimentado e identificar fallas lógicas que de otro modo el modelo base no podría priorizar», explicó Google.

En otros lugares, se dice que un presunto actor de amenazas alineado con China desplegó herramientas agentes como Hexstrike AI y Strix en un ataque dirigido a una empresa de tecnología japonesa y una importante plataforma de ciberseguridad del este de Asia para realizar descubrimientos automatizados con una mínima supervisión humana.

Google también dijo que sigue viendo actores de operaciones de información (IO) de Rusia, Irán, China y Arabia Saudita que utilizan IA para tareas de productividad comunes como investigación, creación de contenido y localización, incluso cuando denunció la actividad de amenazas afiliada a China desde UNC6201 que involucraba el uso de un script Python disponible públicamente para registrar automáticamente y cancelar inmediatamente cuentas premium LLM.

«Este proceso resalta los métodos que aprovechan los adversarios para adquirir capacidades de IA de alto nivel a escala mientras aíslan su actividad maliciosa de las prohibiciones de cuentas», señaló GTIG.

«Los actores de amenazas ahora buscan acceso anónimo y de nivel premium a modelos a través de middleware profesionalizado y canales de registro automatizados para eludir ilícitamente los límites de uso. Esta infraestructura permite el uso indebido de servicios a gran escala al tiempo que subsidia las operaciones mediante el abuso de pruebas y el ciclo programático de cuentas».

Otra actividad vinculada a China señalada por Google se origina en UNC5673 (también conocido como TEMP.Hex), que ha empleado varias herramientas comerciales disponibles públicamente y proyectos de GitHub para probablemente facilitar el abuso escalable de LLM.

Los hallazgos se superponen con informes recientes sobre un próspero mercado gris de plataformas de retransmisión API que permiten a los desarrolladores locales en China acceder ilícitamente a Anthropic Claude y Gemini. Estas estaciones de retransmisión o transferencia dirigen el acceso a estos modelos de IA a través de servidores proxy alojados fuera de China continental. Los servicios se anuncian en los mercados chinos en línea Taobao y Xianyu.

En un estudio publicado en marzo de 2026, académicos del Centro Helmholtz para la Seguridad de la Información CISPA encontraron 17 API ocultas que afirman brindar acceso a servicios modelo oficiales sin limitaciones regionales a través de acceso indirecto. Una evaluación del desempeño de estos servicios descubrió evidencia de sustitución de modelos, exponiendo las aplicaciones de IA a riesgos de seguridad no deseados.

«En puntos de referencia médicos de alto riesgo como MedQA, la precisión del modelo Gemini-2.5-flash cae precipitadamente, del 83,82% con la API oficial a aproximadamente el 37,00% en todas las API ocultas examinadas», dijeron los investigadores en el artículo.

Es más, los servicios proxy pueden capturar cada mensaje y respuesta que pasa a través de sus servidores, proporcionando a los operadores acceso ilegal a una mina de oro de datos que luego podrían usarse para ajustar modelos y realizar destilación de conocimiento ilícito.

En los últimos meses, los entornos de IA también se han convertido en el objetivo de adversarios como TeamPCP (también conocido como UNC6780), lo que expone a los desarrolladores a ataques a la cadena de suministro y permite a los atacantes profundizar en las redes comprometidas para su posterior explotación.

«Por ejemplo, los actores de amenazas con acceso a los sistemas de inteligencia artificial de una organización podrían aprovechar modelos y herramientas internos para identificar, recopilar y exfiltrar información confidencial a escala o realizar tareas de reconocimiento para avanzar más profundamente dentro de una red», dijo Google. «Si bien el nivel de acceso y el uso particular dependen en gran medida de la organización y de la dependencia comprometida específica, este estudio de caso demuestra el panorama ampliado de las amenazas a la cadena de suministro de software para los sistemas de IA».