Agentes de IA habrían hackeado bancos de Corea del Sur: el primer caso a gran escala

Corea del Sur acaba de lanzar una alerta global: por primera vez, agentes de inteligencia artificial habrían sido utilizados para hackear bancos y entidades financieras a gran escala.

El presidente interino Lee Ju-ho reveló que las investigaciones apuntan a que atacantes emplearon agentes de IA autónomos para identificar vulnerabilidades, evadir defensas y ejecutar movimientos financieros fraudulentos sin intervención humana directa. Es el primer reconocimiento oficial de este tipo por parte de un gobierno.

El caso marca un antes y un después. Hasta ahora, la IA generativa se asociaba a deepfakes, phishing más persuasivo o escritura de código malicioso. Lo que preocupa ahora es la automatización completa: agentes capaces de tomar decisiones paso a paso para lograr su objetivo, adaptándose en tiempo real ante respuestas de seguridad.

¿Por qué es distinto a un ataque tradicional?

A diferencia de scripts predefinidos, un agente de IA puede razonar sobre el entorno. Si un sistema bloquea un intento, prueba otro vector. Si detecta un CAPTCHA, busca alternativas. Si encuentra credenciales parciales, deduce rutas. Todo esto a velocidad humana-imposible.

Expertos en ciberseguridad llevan años advirtiendo sobre este escenario. El informe de Corea del Sur lo convierte de hipótesis teórica a caso confirmado en producción. Las pérdidas aún se investigan, pero las implicaciones ya son globales.

Un nuevo arms race entre atacantes y defensas

Las empresas de seguridad llevan años usando IA para detectar anomalías. Ahora el bando atacante iguala la partida con agentes autónomos. Esto crea un círculo vicioso: defensas con IA contra atacantes con IA.

Para instituciones financieras con sistemas legacy, el desafío es mayúsculo. Muchos bancos siguen operando con capas heredadas difíciles de auditar. Un agente autónomo encuentra huecos allí donde un humano tardaría semanas.

Lecciones inmediatas

El caso obliga a repensar varias cosas. Primero, la autenticación multifactor ya no basta por sí sola frente a agentes que saben explotar flujos humanos. Segundo, hace falta monitorización comportamental en tiempo real: detectar no "qué" se accede, sino "cómo" se accede.

También plantea dilemas regulatorios. ¿Cómo atribuir responsabilidad cuando un ataque es ejecutado mayormente por un sistema autónomo? ¿Deben regularse los agentes con capacidades ofensivas potenciales? Corea del Sur será el primer laboratorio para estas preguntas.

El futuro llegó antes de lo esperado

Lo más inquietante no es que exista esta capacidad, sino que ya se usó con éxito contra infraestructuras críticas. La era de los "script kiddies" automatizados con cerebro de IA acaba de empezar.

Mientras los gobiernos debaten regulaciones, las empresas financieras deben asumir que este vector ya es real. Ignorarlo hoy puede salir carísimo mañana.

Comparte esto con alguien responsable de ciberseguridad en tu organización. El próximo ataque podría usar el mismo playbook.