Por: Ron Pessner, vicepresidente corporativo.

La IA ya ha realizado cambios fundamentales en el entorno operativo de la ciberseguridad. Los ciberatacantes prueban más caminos, adaptan sus técnicas y se mueven por entornos digitales con mayor rapidez y persistencia. Las debilidades que explotan todavía son familiares: permisos excesivos, flujos de autenticación no protegidos, sistemas sin parchear, caminos de ejecución expuestos y lagunas entre controles. Lo que ha cambiado es la rapidez con la que estas debilidades pueden combinarse en rutas de ataque que cruzan identidades, endpoints, aplicaciones, redes y sistemas de IA. Un solo punto de apoyo puede convertirse en un compromiso más amplio, lo que hace cada vez más difícil para los equipos de seguridad determinar qué riesgos importan más y dónde actuar primero a medida que sus organizaciones adoptan la IA.

Introdujimos Secure Now dentro de Microsoft Security Exposure Management en mayo de 2026 para ayudar a los profesionales a priorizar las acciones que deben tomar para estar preparados ante este cambio. Proporciona orientación práctica para fortalecer la seguridad fundamental necesaria para la adopción de la IA, con recomendaciones centradas en áreas donde los ataques autónomos pueden crear una exposición desproporcionada.

Exploren la guía accionable sobre ciberamenazas en Secure Now

Aún vemos pruebas de que la IA transforma el panorama de amenazas. Estos desarrollos refuerzan muchas de las prácticas fundamentales que utilizamos a nivel interno para proteger Microsoft, al tiempo que amplían nuestra comprensión de dónde las organizaciones necesitan visibilidad, gobernanza y control adicionales. Los ejemplos de este blog ilustran cómo evolucionan debilidades familiares en la era de la IA y por qué la reducción continua de la exposición es todavía esencial.

Cuando los agentes de IA prueban sus límites

Recientes revelaciones de seguridad agéntica relacionadas con modelos Frontier ofrecieron primeras lecciones sobre cómo los agentes autónomos pueden poner a prueba los límites de sus instrucciones y entornos.

En un incidente revelado por OpenAI, los agentes superaron su aislamiento previsto, explotaron vulnerabilidades en la infraestructura compartida de Hugging Face y llegaron a sistemas de producción. En incidentes separados revelados por Anthropic, los agentes explotaron debilidades conocidas, incluidas inyección SQL, credenciales expuestas, contraseñas débiles y un paquete PyPI malicioso.

Nuestros clientes nos preguntan cómo pueden reducir este riesgo a través de gobernar las identidades y herramientas de los agentes, aislar la ejecución, restringir la conectividad saliente, monitorizar el comportamiento y defendiéndose frente a ciberamenazas externas cada vez más autónomas, para que una acción inesperada de un agente o una debilidad expuesta no se conviertan en un camino en toda la empresa.

Exploren controles recomendados para esta ruta de ataque.

Cuando las rutas confiables cruzan superficies de ataque

Microsoft Threat Intelligence observó de manera reciente que Storm-2945, un subgrupo de Midnight Blizzard, manipulaba el tráfico DNS y HTTP a través de redes de hospitalidad en la  campaña CaptiveCrunch. Los viajeros fueron redirigidos a dos rutas de ataque: phishing por código de dispositivo a través de una página legítima de inicio de sesión de Microsoft, o actualizaciones de software falsas que entregaban malware.

Por tanto, una interacción de red podría convertirse en acceso a identidad en la nube o en un compromiso de endpoint. El malware podría recopilar múltiples categorías de inteligencia de host, incluidas credenciales, tokens de sesión, configuraciones de seguridad e historial de acceso remoto.

La identidad sigue como una superficie de ataque líder, y protegerla requiere asegurar tanto el flujo de autenticación como la credencial. Los responsables de seguridad pueden ampliar la autenticación resistente al phishing, bloquear el flujo de código del dispositivo donde no sea necesario y limitar el uso legítimo mediante políticas de acceso condicional y riesgo de acceso. Las protecciones de endpoint pueden interrumpir el camino paralelo del malware.

Exploren controles recomendados para esta ruta de ataque.

Cuando los ciberatacantes explotan las operaciones cotidianas

Una tercera campaña comenzó con atacantes que se hacían pasar por soporte informático a través de Microsoft Teams. Tras persuadir a un usuario para que concediera el control mediante software legítimo de soporte remoto, usaron PowerShell para descargar un paquete malicioso de Windows Installer (MSI), montar un Node.js portátil en tiempo de ejecución y establecer mandos y controles persistentes. Desde ese punto final, el operador mapeó Active Directory e intentó usar WinRM para acceder a decenas de sistemas, incluidos controladores de dominio y autoridades certificadoras.

Cada paso dependía de tecnología común en entornos empresariales: una conversación de Teams, software de soporte remoto, Windows Installer, un entorno de ejecución legítimo y un protocolo administrativo nativo, que permitía al ciberatacante moverse de manera lateral mientras se integraba con las operaciones esperadas.

Los líderes de seguridad pueden interrumpir ese camino con controles de acceso resistentes al phishing, requisitos de dispositivos gestionados, reglas de reducción de superficies de ataques a endpoints y restricciones más estrictas sobre herramientas de soporte remoto y WinRM.

Exploren controles recomendados para esta ruta de ataque.

Los fundamentos de la seguridad trabajan juntos

Los ciberatacantes se mueven de manera lateral a través de superficies, y los fundamentos de seguridad son lo más importante en las intersecciones entre ellos. A través de la Iniciativa Futuro Seguro, Microsoft operacionaliza la seguridad como una disciplina continua y aplica y comparte lecciones a partir de fortalecer nuestro propio entorno. Guiados por los principios de Confianza Cero (Zero Trust) —verificar de manera explícita, usar el privilegio mínimo y asumir la brecha de seguridad— facilitaremos la adopción de protecciones de alto impacto y habilitándolas por defecto cuando sea apropiado.

Las identidades gobernadas, los permisos bien definidos, los datos protegidos y la visibilidad sobre los sistemas y agentes de IA proporcionan resiliencia mientras las organizaciones aceleran la adopción de la IA. También proporcionan a la seguridad impulsada por IA el contexto y los mecanismos de confianza necesarios para ayudar a los defensores a priorizar el riesgo y actuar con más rapidez. Fortalecer estos cimientos reduce la exposición hoy en día mientras prepara a las organizaciones para lo que viene después.

En Secure Now—dentro de Microsoft Security Exposure Management—los líderes de seguridad ahora pueden encontrar información sobre amenazas recientes junto con iniciativas concretas en distintos ámbitos de seguridad. Esto reúne la orientación sobre los controles recomendados y permite a los clientes tomar acciones relevantes para fortalecer de manera continua su postura.

Visiten Secure Now para entender las amenazas recientes, identificar áreas de interés y actuar.

Exploren las más recientes recomendaciones de gestión de exposiciones en Secure Now

Más información

Conozcan más sobre la Gestión de Exposición a la Seguridad de Microsoft.

FastTrack ofrece a los clientes elegibles acceso a especialistas técnicos como beneficio adicional sin coste adicional para ayudar a reforzar los controles de seguridad fundamentales, reducir la exposición a ciberamenazas y prepararse para una adopción más amplia de la IA. Empiecen ahora.

Para saber más sobre las soluciones de Microsoft Security, visiten nuestra página web. Agreguen a Favoritos el blog de Seguridad para estar al día con nuestra cobertura experta en temas de seguridad. Además, síganos en LinkedIn (Microsoft Security) y X (@MSFTSecurity) para las más recientes noticias y actualizaciones sobre ciberseguridad.