Qué ha observado Kaspersky
Kaspersky ha publicado el análisis de CyberStrikeAI, un framework de código abierto utilizado en ataques contra organizaciones educativas de África y Latinoamérica observados entre septiembre y octubre de 2026. La compañía describe una arquitectura en la que un servidor del atacante usa un modelo de lenguaje para decidir qué herramienta emplear, generar el siguiente comando y analizar el resultado recibido.
El implante instalado en la red víctima ejecuta las instrucciones y devuelve información. No contiene el modelo ni necesita llamar directamente a una API de IA. Esta separación importa: el caso no describe un malware que piense por sí solo dentro de cada equipo, sino una automatización del mando y control desde la infraestructura del operador.
Según el informe, la actividad incluyó reconocimiento, robo de credenciales, movimiento lateral, recopilación de datos y uso de cuentas con privilegios administrativos. Kaspersky no atribuye la campaña a un grupo conocido. Los comentarios en chino pueden orientar una hipótesis lingüística, pero no prueban el origen del operador ni su ubicación.
El modelo estaba en el servidor, no en la víctima
La diferencia entre un agente alojado en el servidor y un modelo desplegado en cada endpoint cambia la superficie defensiva. En el primer caso, los indicios de IA pueden concentrarse en el tráfico de mando, en la cadencia de las peticiones y en la forma en que se encadenan herramientas conocidas.
CyberStrikeAI combina un implante convencional con un orquestador que decide el siguiente paso. El operador humano marca un objetivo amplio y el modelo puede escoger una secuencia técnica dentro de las capacidades disponibles. Eso reduce el trabajo manual y permite adaptar la campaña a las respuestas de la red.
No significa que el modelo haya descubierto una técnica nueva ni que la intrusión sea imposible de detectar. Las fases siguen dejando rastros: autenticaciones anómalas, consultas de directorio, uso de herramientas administrativas, conexiones entre segmentos y exportaciones de datos.