Cada día, un equipo de seguridad recibe más eventos de los que cualquier grupo de personas podría revisar: logs de firewall, alertas de EDR, accesos de usuarios, correos sospechosos. La inteligencia artificial llegó a la ciberseguridad para resolver ese problema de escala. En el libro IA en Ciberseguridad lo abordamos desde los fundamentos hasta su aplicación en infraestructuras críticas. Este artículo es el punto de partida.
Qué entendemos por IA en ciberseguridad
“IA” es un paraguas amplio. En seguridad conviene distinguir tres familias, porque resuelven problemas distintos:
| Técnica | Qué hace | Ejemplo en seguridad |
|---|---|---|
| Machine learning supervisado | Aprende de ejemplos etiquetados | Clasificar correos como phishing o legítimos |
| Machine learning no supervisado | Encuentra patrones y anomalías sin etiquetas | Detectar un usuario que de pronto descarga gigas de datos |
| IA generativa (LLM) | Entiende y genera lenguaje | Resumir un incidente o sugerir una consulta para el SIEM |
Lo que no es IA: una regla del tipo “si hay 10 logins fallidos, alerta”. Las reglas siguen siendo imprescindibles, pero solo detectan lo que alguien previó. La IA aporta cuando el patrón es demasiado complejo o cambiante para escribirlo a mano.
Casos de uso que ya funcionan
- Detección de anomalías de comportamiento (UEBA): aprender qué es normal para cada usuario y equipo, y señalar lo que se desvía.
- Antiphishing: analizar texto, remitente, enlaces y adjuntos para puntuar el riesgo de cada correo.
- Priorización de alertas: agrupar alertas relacionadas en un solo incidente y ordenar la cola del SOC por riesgo real.
- Detección de malware: clasificar archivos por su comportamiento y características, no solo por su firma.
- Detección de fraude: puntuar transacciones en tiempo real, como vemos en el caso de fraude bancario.
- Asistentes para analistas: LLM que resumen incidentes, explican un comando sospechoso o redactan el informe.
Ejemplo: un clasificador de phishing en Python
Para ver la idea en acción, este ejemplo mínimo entrena un clasificador de texto con scikit-learn. Con media docena de correos no sirve para producción, pero muestra el flujo completo: datos, modelo y predicción.
from sklearn.feature_extraction.text import TfidfVectorizer
from sklearn.linear_model import LogisticRegression
from sklearn.pipeline import make_pipeline
# 1 = phishing, 0 = legítimo (en la práctica: miles de ejemplos reales)
correos = [
"Su cuenta será suspendida, verifique sus datos en este enlace",
"Ganó un premio, ingrese su tarjeta para recibirlo",
"Actualice su contraseña urgente o perderá el acceso",
"Adjunto el informe trimestral para la reunión del jueves",
"¿Podemos mover la llamada a las 15 h?",
"Te comparto la minuta de la reunión de ayer",
]
etiquetas = [1, 1, 1, 0, 0, 0]
# TF-IDF convierte el texto en números; la regresión logística aprende a separarlos
modelo = make_pipeline(
TfidfVectorizer(ngram_range=(1, 2)),
LogisticRegression(max_iter=1000),
)
modelo.fit(correos, etiquetas)
nuevo = "Verifique su contraseña en este enlace para evitar la suspensión"
prob = modelo.predict_proba([nuevo])[0][1]
print(f"Probabilidad de phishing: {prob:.0%}")Un sistema real añade mucho más: características del remitente (SPF, DKIM, DMARC, antigüedad del dominio), análisis de las URL y los adjuntos, y un umbral calibrado para no inundar al equipo de falsos positivos. El principio, sin embargo, es el mismo.
Límites y riesgos
- Falsos positivos: un detector que acierta en el 99 % de los casos, aplicado a millones de eventos diarios, puede generar miles de alertas falsas al día.
- Deriva: el comportamiento normal cambia (teletrabajo, nuevas aplicaciones) y el modelo se degrada si no se reentrena.
- Opacidad: si el analista no entiende por qué saltó una alerta, no podrá actuar con confianza. Por eso la explicabilidad es un requisito, como tratamos en ética y gobernanza de la IA.
- El propio modelo es un objetivo: se puede engañar, envenenar o robar (ver seguridad de modelos de IA).
Los atacantes también usan IA
La misma tecnología está al alcance de los atacantes: correos de phishing sin faltas de ortografía y personalizados para cada víctima, voces y vídeos falsos para suplantar a directivos, o reconocimiento automatizado de objetivos. La consecuencia práctica es que las señales clásicas (“desconfía de los correos mal escritos”) pierden valor, y la defensa necesita detectar comportamientos, no solo contenidos.
Cómo empezar en tu organización
- Elige un caso de uso concreto con dolor medible: por ejemplo, “el SOC pierde horas con alertas de phishing reportado”.
- Revisa tus datos: ¿tienes los logs necesarios, centralizados y con suficiente historia?
- Empieza con lo que ya tienes: muchas plataformas de SIEM, EDR y correo incluyen capacidades de ML. Actívalas y mide antes de construir modelos propios.
- Define métricas: tiempo de detección, tiempo de respuesta y tasa de falsos positivos antes y después.
- Mantén al humano en el circuito para las decisiones con impacto, al menos hasta que el sistema demuestre que es fiable.
El mapa completo de la IA aplicada a la ciberdefensa
El libro IA en Ciberseguridad recorre desde el panorama de amenazas hasta el SOC inteligente, Zero Trust y cuatro casos de estudio reales.
Comprar en Amazon