Durante años, los expertos en seguridad se preguntaban cuándo empezaría la inteligencia artificial a encontrar por sí sola agujeros nuevos en el software. En 2026 llegó la respuesta, y desde los dos bandos a la vez. En septiembre, un agente de IA entró en una organización neerlandesa de voluntarios encadenando dos fallos que nadie conocía. En mayo, Google pilló a unos delincuentes usando un exploit que, según sus análisis, ayudó a construir una IA. Mientras tanto, las herramientas de IA de los defensores están encontrando miles de errores antes de que lleguen los atacantes.
Te contamos qué ha pasado, qué sigue abierto y qué significa para cualquiera que tenga una web o una pequeña empresa.
Primero, ¿qué es un día cero?
Un día cero (en inglés, zero-day) es un fallo de seguridad que el fabricante del software todavía no conoce. El nombre viene de que los desarrolladores han tenido cero días para arreglarlo. Por eso valen tanto para los atacantes: no hay parche, así que hasta un sistema bien mantenido queda expuesto. Encontrar uno solía llevar semanas o meses de trabajo minucioso a gente muy experta.
Un agente de IA es un modelo de inteligencia artificial que no se limita a responder preguntas, sino que actúa: ejecuta órdenes, lee los resultados y decide el siguiente paso. Si lo apuntas a un sistema, puede probar un camino tras otro mucho más rápido que una persona.
El ataque a DIVD: un agente de IA encadena dos fallos desconocidos
El 21 de septiembre de 2026, unos atacantes entraron en el Instituto Neerlandés para la Divulgación de Vulnerabilidades (DIVD), una organización sin ánimo de lucro formada sobre todo por investigadores voluntarios que se dedican precisamente a encontrar agujeros de seguridad y avisar a los dueños de los sistemas vulnerables. En su primer comunicado, del 24 de septiembre, DIVD explicó que la forma de actuar del atacante apuntaba a un «ataque impulsado por IA agéntica», algo que no habían visto nunca.
La puerta de entrada fue Zammad, un sistema de atención al cliente de código abierto muy extendido. Según BleepingComputer y Help Net Security, el atacante encadenó dos fallos hasta entonces desconocidos, hoy registrados como CVE-2026-102489 y CVE-2026-102490. El primero le permitió hacerse con una sesión y ejecutar código en el servidor; el segundo le llevó de la cuenta propia del programa al control total de la máquina, lo que se conoce como acceso «root». DIVD contó que ese salto duró segundos, precisamente «por la parte agéntica del ataque».
Desde ahí, el agente llegó a otros servicios y copió algunos datos. DIVD lo describió como un ataque «ruidoso y muy, muy chapucero»: el agente cometió torpezas e incluso dejó explicaciones de sus propias decisiones, lo que ayudó a los investigadores a reconstruir lo ocurrido. La segmentación de la red (tener los sistemas en compartimentos separados) y una respuesta rápida impidieron que fuera más lejos. Aún no se sabe quién estaba detrás, qué modelo de IA se usó ni si era una campaña real o una prueba de lo que pueden hacer estos agentes. Lo de la IA es la valoración de DIVD a partir del comportamiento del atacante.
Cómo está la situación
- Explotación confirmada. La agencia de ciberseguridad de Estados Unidos, CISA, añadió los dos fallos de Zammad a su lista de vulnerabilidades explotadas el 2 de octubre de 2026 y dio a las agencias federales hasta el día 5 para actuar.
- Arreglo parcial. En una actualización del 8 de octubre, Help Net Security informó de que Zammad recomienda pasar a la versión 7.0 o posterior para cerrar el primer fallo, y asegura que el segundo no puede aprovecharse a distancia por sí solo y está ligado a un problema de un servicio externo de empaquetado que intenta resolver.
- Detalles en disputa. Zammad y DIVD siguen sin ponerse de acuerdo sobre qué versiones exactas están afectadas ni sobre cómo se gestionó el aviso, así que los administradores deben seguir los avisos oficiales de Zammad.
Google: el primer exploit de día cero hecho con IA, pillado en plena acción
En mayo, el Grupo de Inteligencia de Amenazas de Google (GTIG) publicó lo que considera el primer exploit de día cero desarrollado con IA y usado por atacantes reales. Era un pequeño programa en Python que se saltaba la verificación en dos pasos (el código extra que escribes después de la contraseña) en una herramienta web de código abierto muy usada para administrar servidores. Los atacantes seguían necesitando un usuario y una contraseña válidos, pero el segundo candado dejaba de funcionar.
¿Cómo supo Google que había una IA detrás? El código parecía sacado de un libro de texto: muchas notas explicativas, un orden impecable típico de los datos con los que se entrenan estos modelos e incluso una puntuación de gravedad inventada, el tipo de invención segura de sí misma tan propia de la IA. GTIG afirma con «alta confianza» que un modelo de IA ayudó a encontrar el fallo y convertirlo en arma, aunque no su propio Gemini. Los delincuentes preparaban un ataque masivo; Google trabajó con el fabricante, cuyo nombre no ha revelado, para corregir el fallo, lo que pudo frenar la campaña antes de que despegara, como también recogió Decrypt.
El tipo de fallo dice mucho. No era un error clásico de memoria, sino de lógica: el programador había dado por buena una suposición de confianza que parecía correcta pero no lo era. Google señala que los modelos de IA actuales son muy buenos detectando justo este tipo de errores, que las herramientas de análisis tradicionales suelen pasar por alto.
La IA de los defensores también corre
Las mismas capacidades se están usando en el otro bando, y a una escala mucho mayor:
- Big Sleep, de Google. En julio de 2025, Google contó que su agente de IA Big Sleep había encontrado un fallo crítico en el motor de bases de datos SQLite (CVE-2025-6965) que «solo conocían los atacantes y corría el riesgo de ser explotado», y que ayudó a cortar el ataque antes de que se produjera, según The Record y SecurityWeek. Google lo presenta como la primera vez que un agente de IA desbarata directamente un ataque real.
- Mythos Preview, de Anthropic. En abril de 2026, Anthropic lanzó el Proyecto Glasswing, que da acceso a un modelo restringido a un grupo de empresas como AWS, Apple, Google, Microsoft, la Linux Foundation o CrowdStrike. Anthropic asegura que ha encontrado miles de días cero graves, también en todos los grandes sistemas operativos y navegadores, entre ellos un fallo de 27 años en OpenBSD y otro de 16 años en la biblioteca de vídeo FFmpeg. La compañía dijo a VentureBeat que no piensa lanzar el modelo al público por estas capacidades, y apoya a grupos de seguridad de código abierto con 4 millones de dólares en donaciones.
- IA que escribe el arreglo. El agente CodeMender de Google y Aardvark de OpenAI, rebautizado como Codex Security en marzo de 2026, van un paso más allá: además de señalar el fallo, proponen el parche, y una persona revisa cada corrección.
Qué significa hoy
La foto real: la IA no ha inventado un tipo de ataque nuevo, pero ha hecho mucho más rápido y barato encontrar fallos y encadenarlos. Y eso corta en las dos direcciones. Los atacantes ya no necesitan a un experto escaso para dar con un día cero, y los defensores pueden repasar montañas de código antiguo que ningún equipo humano tendría tiempo de leer. La clave es la velocidad: lo que se tarda en encontrar, avisar y parchear un fallo, frente a lo que tarda alguien en aprovecharlo.
Para empresas y dueños de webs, los consejos de siempre, pero con más urgencia:
- Actualiza rápido y vigila listas como la de vulnerabilidades explotadas de CISA para el software que usas.
- Separa los sistemas, para que una puerta rota no abra todo el edificio. Fue lo que limitó los daños en DIVD.
- No confíes en un solo candado. La verificación en dos pasos sigue siendo importante, pero el caso de Google demuestra que es una capa más entre varias.
- Atento al ruido. Los agentes atacantes de hoy son rápidos pero chapuceros. Unos buenos registros y alertas pueden pillarlos con las manos en la masa.
Los próximos meses dirán si la ventaja de los defensores con herramientas como Big Sleep y Mythos Preview se mantiene o si la IA de los atacantes la alcanza. En cualquier caso, la era de los días cero descubiertos por IA ya no es una predicción.
Sigue leyendo
- OpenAI pide perdón a Australia por sus agentes de IA
- GPT-6 en ChatGPT: qué es Intelligent UI y cómo usarlo
- ¿Puede la IA tener conciencia? Lo que dice la ciencia
Fuentes
- When, not if (comunicado del incidente) – DIVD, 24 de septiembre de 2026 (en inglés)
- DIVD says Zammad zero-days enabled AI-driven network breach – BleepingComputer, 30 de septiembre de 2026 (en inglés)
- AI agent used Zammad zero-days to breach Dutch vulnerability disclosure non-profit – Help Net Security, 1 de octubre de 2026, actualizado el 8 de octubre (en inglés)
- Known Exploited Vulnerabilities Catalog (CVE-2026-102489 y CVE-2026-102490) – CISA, 2 de octubre de 2026 (en inglés)
- GTIG AI Threat Tracker: Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access – Google Threat Intelligence Group, 11 de mayo de 2026 (en inglés)
- Hackers Used AI to Build a Zero-Day Exploit That Bypasses Two-Factor Authentication: Google – Decrypt, mayo de 2026 (en inglés)
- Google’s Big Sleep AI tool found bug – The Record, 15 de julio de 2025 (en inglés)
- Google says AI agent thwarted exploitation of critical vulnerability – SecurityWeek, julio de 2025 (en inglés)
- Project Glasswing – Anthropic, 7 de abril de 2026 (en inglés)
- Anthropic says its most powerful AI cyber model is too dangerous to release – VentureBeat, abril de 2026 (en inglés)
- Introducing CodeMender: an AI agent for code security – Google DeepMind, 6 de octubre de 2025 (en inglés)
- Introducing Aardvark (now Codex Security) – OpenAI, octubre de 2025, actualizado en marzo de 2026 (en inglés)
