Tom Kellermann: Así que entender cómo están manteniendo la persistencia a través de la IA, entender cuándo las herramientas de IA son secuestradas y/o rotas y ahora se convierten en agentes maliciosos es imperativo. Lograr eso es la parte complicada. Pero creo que uno de los talones de Aquiles de la inteligencia artificial es el hecho de que realmente no hemos resuelto los ataques a las API. Y una forma fácil de liberar es a través de ataques a las API. Así que ese es uno de los desafíos singulares de defender esos límites.
Johnny Hand: Bienvenidos a AI Security Brief, donde estamos desglosando las amenazas emergentes de IA, la investigación de vulnerabilidades y las decisiones estratégicas que los líderes de seguridad están tomando ahora mismo. Soy Johnny Hand.
Dustin Childs: Y yo soy Dustin Childs. El invitado de hoy es Tom Kellermann, quien lidera la seguridad de IA y la investigación de amenazas en TrendAI y acaba de escribir el nuevo informe Modern Bank Heist 2026. Ahora, cada año, este informe toma el pulso de los CISOs del sector financiero, y la edición de este año es un punto de inflexión.
Johnny Hand: Sí, exactamente. Y TrendAI en realidad encuestó a 46 CISOs del sector financiero, y el titular ahora es un cambio de robar datos a realmente interrumpir a los defensores mismos. Más del 60% de estos CISOs experimentaron lo que llamaríamos respuesta contra incidentes. Eso significa que los atacantes están luchando activamente durante una investigación en vivo. Y todo eso está sucediendo a velocidad de máquina, lo cual es interesante porque más del 89% o casi el 90% reportaron más ataques habilitados por IA año tras año. Y luego el argumento central de Tom es que el cibercrimen también se ha vuelto agéntico. Así que agentes de IA especializados orquestando phishing, fraude y explotación en paralelo durante estos incidentes.
Dustin Childs: Sí, creo que esta es realmente una conversación breve para todos, incluso si no estás en el sector financiero, porque lo que golpea a los bancos primero tiende a golpear todo lo demás después. Y como dijo Willie Sutton, golpea a los bancos primero porque los ladrones de bancos lo hacen porque ahí es donde está todo el dinero. Así que es interesante ver lo que los bancos están viendo. Y hay una manera de superar esto también. Tom expone cómo los defensores pueden responder en especie a velocidad de máquina y por qué la voz independiente de un CISO nunca ha importado más. Así que vamos a sumergirnos en la conversación.
Johnny Hand: Sé que el sector financiero siempre ha sido, ya sabes, un objetivo principal para los atacantes, aunque creo que la mayoría de los consumidores piensan que el sector financiero es bastante seguro. Según tu informe, ¿cómo está moviendo la IA tanto la sofisticación como la escala de los ataques?
Tom Kellermann: Sí, esta es la octava vez que escribo este informe. Lo he escrito para una miríada de diferentes organizaciones, pero este del que estoy muy orgulloso, aquí obviamente en TrendAI. Sabes, el 67% de los encuestados notaron que sufrieron de respuesta contra incidentes, nuevamente a ese punto que estábamos planteando allí. Y luego, cuando esa respuesta contra incidentes escala, realmente escala, donde el ladrón por así decirlo, la invasión del hogar está ahora en un punto donde quieren cometer incendio, notaron que el 41% sufrió ataques destructivos. Eso es un gran problema. El cincuenta y cinco por ciento dijo que no sabían cómo resolver los ataques basados en API y que los ataques a las API estaban aumentando. Y creo que lo más interesante aquí es, mientras todos hablamos sobre los mercados de predicción, el 46% vio que el adversario estaba intentando robar información de mercado no pública o estrategias de inversión de la institución para llevar a cabo, ya sabes, front-running digital o comercio con información privilegiada. Así que ahora estás lidiando con adversarios que reconocen que no se trata solo del dinero. Sabes, el dinero es una cosa. Mover transferencias bancarias, obtener acceso a cuentas, ya sabes, eso es lucrativo. Claro. Pero la información más valiosa que tiene una institución es realmente su información de mercado no pública y sus estrategias de mercado.
Johnny Hand: Y dijiste que estos ataques están siendo orquestados usando múltiples agentes de IA. ¿Cómo se ve un ataque agéntico de principio a fin? Quiero decir, ¿dónde se desvía de un libro de jugadas tradicional? ¿O es lo mismo, solo más automatizado con IA?
Tom Kellermann: Así que dos cosas. Creo que todos deberíamos reconocer y apreciar que la IA no gobernada debería verse como un C2. Quiero decir, si no está gobernada y está operando en una organización, básicamente va a ser una droga de entrada para cualquier adversario para moverse lateralmente, para vivir de la tierra en tu entorno. Y tienes herramientas de IA que básicamente pueden ser secuestradas. Los rusos se especializan en liberar una miríada de LLMs por ahí y capacidades de IA, y vuelven esas mismas funcionalidades contra ti debido al hecho de que el modelo tiene acceso libre a servicios y herramientas una vez desplegado en el entorno. Así que para los defensores ahí fuera, tienes que ver la IA no gobernada como C2. Punto. Una vez que la gobiernas, necesitas realmente ser capaz de entender, ¿está liberada? ¿Cuándo será liberada? Aplicar reglas como el menor privilegio. Quiero decir, John, tienes muchos pensamientos sobre esto. Quiero decir, estás protegiendo nuestra organización mientras hablamos, así que me encantaría escuchar tus pensamientos sobre eso.
Johnny Hand: Sí. No, creo que vemos la IA como una nueva superficie de ataque también. Tanto como la innovación que está sucediendo, ese es el tipo de desafío agradable de ello. La intención detrás de la IA es importante, y las empresas están transformándose, pero también es una superficie de ataque para muchos actores de amenazas. Entonces, ¿ves que con la IA, la intención del atacante realmente ha cambiado, y si lo haces, qué es lo que los CISOs y los líderes de seguridad deberían hacer de manera diferente debido a eso?
Tom Kellermann: Sí, quiero decir, mira, no todos -- no todos los modelos son iguales. Algunos modelos prestan mucha más atención a la seguridad y la seguridad de sus límites. Pero dicho esto, ya sabes, realmente necesitas implementar principios como el menor privilegio, eliminar la IA en la sombra. Pero respeta el hecho de que, ya sabes, nuevamente, la IA no gobernada va a ser un C2 natural y una capacidad natural de vivir de la tierra o plataforma para los adversarios una vez que están en tu entorno. Mejora su capacidad para realizar reconocimiento, entrega, movimiento lateral, pero más importante, persistencia. Así que creo que entender cómo la IA permite la persistencia, quiero decir, TrendAI acaba de publicar un gran informe sobre bandcampro, un actor ruso que básicamente liberó a Gemini y luego creó dinámicamente C2s dentro de seis minutos y se movió -- se movió y cambió dinámicamente su C2 a través de una infraestructura. Así que entender cómo están manteniendo la persistencia a través de la IA, entender cuándo las herramientas de IA son secuestradas y/o rotas y ahora se convierten en agentes maliciosos es imperativo. Lograr eso es la parte complicada, pero creo que uno de los talones de Aquiles de la inteligencia artificial es el hecho de que realmente no hemos resuelto los ataques a las API. Y una forma fácil de liberar es a través de ataques a las API. Así que si tienen alguna sugerencia sobre mejores prácticas para la seguridad de las API, me encantaría escucharlas. Pero de lo contrario, ya sabes, ese es uno de los desafíos singulares de defender esos límites.
Johnny Hand: No, en realidad no tengo eso. Y si lo tuviera, lo patentaría y lo vendería a todos, porque todos estamos buscando eso. Pero quiero echar un vistazo a cómo estos ataques están realmente teniendo lugar, porque creo que mencionaste antes de que realmente comenzáramos a grabar que la suplantación de correo electrónico empresarial sigue siendo, como, una de las mayores formas en que estos atacantes están entrando. ¿Cómo está ayudando la IA? ¿Sigue siendo cierto en el mundo de la IA agéntica, y cómo está afectando la IA agéntica ese primer compromiso?
Tom Kellermann: Así que, desde una perspectiva de fraude, a tu punto, la suplantación de correo electrónico empresarial fue una de las mayores preocupaciones de las instituciones. Pero también están muy preocupados por lo que se llama suplantación de correo electrónico empresarial inversa. Así que cuando piensas en la suplantación de correo electrónico empresarial para el movimiento de fondos, ¿verdad?, es un enfoque de afuera hacia adentro. Pero si puedes secuestrar las cuentas de, digamos, Johnny, o tú, Dustin, y luego hacer que se transfiera dinero o hacer una orden para que se transfiera dinero, y luego eludir la autorización a través de la IA creando un video deepfake y/o mensajes deepfake que se alinean con todo, pero viene de tu cuenta verdadera, ¿verdad? Como tu gemelo digital de empleado, esencialmente, eso es altamente problemático. Y así que están muy preocupados por la evolución de RBEC, suplantación de correo electrónico empresarial inversa, y la toma de cuentas desde una perspectiva de fraude. Y luego la otra parte es que están muy preocupados por el hecho de que sus estrategias de mercado y la información de mercado no pública están siendo robadas para llevar a cabo front-running digital y comercio con información privilegiada, porque ese es su activo más valioso.
Johnny Hand: En Pwn2Own Berlín, tuvimos múltiples categorías de IA. Y para mí, creo que la que fue más interesante fue en realidad un exploit de Exchange, Microsoft Exchange. Y el investigador que se hace llamar Orange, dijo que le dijo a la IA qué hacer, y luego la IA escribió el exploit. Pero fue su conocimiento de Exchange -- es un investigador muy talentoso y ha explotado Exchange en múltiples ocasiones. Así que eso realmente mostró que la IA realmente puede hacer esto y realmente puede crear estos exploits viables, pero se necesita un investigador capacitado para guiarlo y llevarlo a cabo. Una de las cosas que tenemos en el ZDI contra la que estamos luchando ahora es que estamos tratando de analizar estos informes. Estamos usando IA para hacerlo. Y la IA está diciendo, "No, eso suena como si fueras a hacer algo malo, y no voy a dejar que hagas eso más." Así que tenemos el desafío de entrenar a la IA para, como, "No, somos los buenos, y necesitamos hacer esto." Pero sí, para mí, eso fue lo más impresionante, porque fue un exploit muy, muy complicado, que hasta la fecha, Microsoft aún no ha parcheado. Así que, es muy interesante de ver.
Tom Kellermann: Wow. Así que una de las cosas que fue notable en el informe que se relaciona con la conversación sobre la IA y los ataques habilitados por IA es este resurgimiento de los RATs. Los troyanos de acceso remoto y los rootkits están realmente floreciendo, y las instituciones financieras están realmente lidiando con ellos porque permite la persistencia por razones obvias. Pero una de las partes notables de eso es que los RATs están desplegando esteganografía para mantener la persistencia. La esteganografía se crea fácilmente ahora debido a la IA. Y la esteganografía solía ser una, ya sabes, una forma de arte que tomaría tiempo y muchos recursos para crear el estego perfecto. Así que estoy fascinado por algunos de estos RATs como XWorm, capacidad modular. Es un RAT que en realidad realiza una miríada de diferentes funciones de ataque. Automatiza completamente la cadena de eliminación, y usa estego para mantener la persistencia. Así que solo un ejemplo del informe.
Johnny Hand: ¿Sientes que -- estaba pensando en el punto de vista de la esteganografía y, ya sabes, incluso como -- no sé. Recuerdo hace 15, 20 años, ya sabes, ocultar mensajes estéreo dentro de las imágenes, como, jugando como un tipo de capacidad de criptografía de bajo nivel. Pero ahora con la IA, es tan rápido. Estoy pensando desde un sombrero de CISO, ¿verdad? Como, ¿cómo obtengo visibilidad, ya sabes, entendiendo que mi gente está subiendo imágenes y, ya sabes, capturas de pantalla todo el día en sus diferentes modelos para procesamiento, ¿verdad? Y el hecho de que los límites nativos realmente no están diseñados para ese nivel, tenemos algunas capacidades dentro de nuestro AI Guard que cubren estos tipos de cosas, pero es un gran desafío. ¿Ves eso como una superficie de ataque creciente para la IA? ¿Lo estás viendo más y más? ¿Hay señales allí de que realmente deberíamos comenzar a buscar ofertas orientadas a soluciones?
Tom Kellermann: Lo veo. Lo veo. Y creo que la primera empresa en llevar esa solución al mercado realmente hará llover. Y en la misma línea con la seguridad de las API, esos son dos grandes vacíos, y dado el entorno en el que vivimos y la cultura en la que vivimos, ambos deben resolverse. Pero creo que se remonta al punto original de, ya sabes, realmente -- hemos estado enfocándonos tanto en la armamentización habilitada por IA, el reconocimiento de IA. Realmente necesitamos comenzar a enfocarnos en toda esa persistencia. Cómo están manteniendo la persistencia a través de la IA, cómo la IA puede actuar como comando y control, o cómo la IA puede precipitar o manifestar estos, ya sabes, C2s que son dinámicos y/o estego que es persistente. Eso es realmente en lo que los defensores deberían enfocarse, particularmente si eres una Fortune 1000, o estás haciendo negocios con una Fortune 1000, y quieren secuestrar tu entorno para atacar a esa entidad.
Johnny Hand: Sí. Sí. Eso tiene mucho sentido. Si podemos volver al tema de las limitaciones de recursos, sé que alrededor de la mitad de los líderes de seguridad no vieron un aumento de presupuesto para sus equipos de seguridad, y todavía reportan al CIO. ¿Qué necesita cambiar estructuralmente para que las instituciones se preparen en términos de la lucha para que puedan tener éxito en defenderse contra tanto los ataques iniciales como los persistentes?
Tom Kellermann: Y esto me enfurece. Absolutamente me enfurece, ya sabes. Si eres una institución financiera, tu CISO debería reportar a tu CEO, al igual que Johnny lo hace aquí. Es simplemente la forma en que debería ser. Deberías tener acceso directo. No deberías estar luchando por recursos con tu CIO. Pero también, creo que como -- voy a dar una conferencia magistral en la Cumbre Regulatoria de la FFIEC en DC próximamente. Debe haber requisitos de informes sobre si tu infraestructura está siendo utilizada para saltar islas. Lo que quiero decir con eso es si tu infraestructura ha sido secuestrada para ser utilizada para atacar a otras partes. Y debe haber requisitos de informes sobre ataques destructivos. "¿Has sufrido un ataque destructivo?" no "¿Has pagado por ransomware o sufrido un ataque de ransomware?" Creo que hay vacíos en los informes, y debe haber cambios y niveles más altos de mandatos para resolver algunos de los problemas con los que lidiamos hoy. Como, ya sabes, tienes muchos días cero por ahí. El parcheo virtual, el blindaje de vulnerabilidades debería ser un mandato, etc., etc., etc.
Johnny Hand: Sí, eso era más o menos a donde iba a continuación, porque las instituciones financieras están fuertemente reguladas, ¿vamos a empezar a ver algunas regulaciones más que se centren en la IA, o al menos en la respuesta a los exploits de IA agéntica?
Tom Kellermann: Lo haremos. Los EE. UU. probablemente se demorarán debido al lobby de K Street, y la dilución de la regulación proactiva cuando se trata de ciberseguridad en el sector financiero. Creo que la Autoridad Monetaria de Singapur será un primer movimiento porque siempre han sido mucho más, como digo, draconianos y/o adversos al riesgo. Y creo que los europeos seguirán el ejemplo, y luego la FFIEC esperemos que siga en sintonía. Pero como mínimo, creo que debe haber mayor -- menos negación plausible y mucha más transparencia en la dualidad de la utilidad de la IA y/o los ataques de hoy.
Johnny Hand: Eso es interesante. Diré, volviendo a tu declaración sobre alinear la organización de seguridad a través del CEO, probablemente haya muchos líderes de seguridad que están escuchando este podcast y aplaudiendo, principalmente porque creo que quieren llevar esa voz más fuerte a las salas de juntas, y muchos CISOs están reportando a la junta, pero no son miembros de la junta. No están teniendo ese nivel de CEO. Y siempre he -- siempre he visto la relación con el CIO como muy complementaria y siempre, ya sabes, una buena alineación en su mayor parte, pero a medida que avanzamos hacia la era de la IA, crea muchos desafíos porque estás encargado de asegurar algo que está, ya sabes, siendo impulsado por el negocio, y si estás compitiendo con recursos, alineación, y esas cosas, definitivamente puedo ver eso como un gran desafío. Así que probablemente tendrás tanto aplausos como un poco de, ya sabes, espero que no demasiados desafíos de nuestra comunidad de CIO también.
Tom Kellermann: Bueno, ¿qué tal -- qué tal el poder de veto? Como mínimo, un CISO debería poder vetar cualquier proyecto iniciado por el CIO o CTO que cree un riesgo sistémico en toda la organización. O ralentizar algo porque los ejercicios de equipo rojo que tus equipos han llevado a cabo, Johnny, demuestran que había, ya sabes, una increíble superficie de ataque allí.
Johnny Hand: Sí, estoy de acuerdo. Creo que hay un nivel de madurez en una organización que necesita suceder, centrando la seguridad como un socio comercial realmente cercano en todo esto. Creo que la alineación de ello es interesante. Ciertamente creo que hay -- ya sabes, y vimos esto durante años, ¿verdad? Lo vimos con el CIO, el crecimiento del movimiento del CIO y CTO dentro de las organizaciones durante la última década, donde pasaron de ser, ya sabes, posiciones secundarias en el C-suite a una más primaria y luego, ya sabes, reportando directamente al CEO. Así que creo que es la progresión natural. La IA está acelerando eso porque hay una necesidad de transparencia y visibilidad en toda la organización, y no es una capacidad adicional. Así que definitivamente estoy de acuerdo en mucho de lo que estás diciendo.
Dustin Childs: Bueno, rápidamente, quiero decir, lo único que me interesaba es que estamos hablando del uso ofensivo de la IA agéntica. ¿Las instituciones financieras en tus encuestas y tus conversaciones con ellas están usando la IA agéntica para soluciones defensivas? Y si es así, ¿qué pasa cuando te quedas sin tokens en medio de una respuesta a incidentes?
Tom Kellermann: Sí, las instituciones financieras la están usando para medidas defensivas, principalmente para caza de amenazas, mapeo de rutas de ataque, respuesta a incidentes, ya sabes, automatización. Creo que están desafiados en sí mismos con la cantidad de información y volumen de datos que les llega y la persistencia del adversario dentro de los sistemas. Creo que uno de los desafíos -- volviendo a los puntos sobre los adversarios que aprovechan la respuesta contra incidentes y se vuelven más punitivos contra los defensores es que realmente necesitamos cambiar la forma en que defendemos. Por ejemplo, en el mundo de hoy, no necesariamente quieres terminar el comando y control que encontraste porque podría desencadenar una sucesión de eventos o un impacto en cascada de, como, C2s dinámicos que dejan wipers en tu sistema o un adversario esencialmente yendo nuclear. Así que creo que es importante notar que -- creo que están enfrentando desafíos mayores en el sentido de que entienden que sus estrategias de mercado son realmente su santo grial, y que si su adversario ahora está trabajando para un banco sancionado extranjero que puede tomar posiciones de mercado antes que su institución, están tomando un gran golpe a la naturaleza de sus transacciones mientras trabajan en los mercados, especialmente los mercados de materias primas.
Johnny Hand: Así que, Tom, en interés del tiempo y mientras terminamos la entrevista aquí, quería asegurarme de que no perdiéramos la oportunidad de obtener tu punto de vista sobre el tema de hoy. Así que, ¿hay una pieza de sabiduría ganada con esfuerzo sobre la seguridad de la IA que quisieras que los líderes de seguridad supieran, o tal vez uno o dos puntos clave de la conversación de hoy que un líder de seguridad podría llevarse y decir, "Necesito investigar eso"?
Tom Kellermann: Así que, desde una perspectiva de seguridad de IA, trata la IA, la IA no gobernada, como un canal de C2. Cuando comienzas a gobernarla, creo que, como dijiste antes, la visibilidad, la observabilidad y el menor privilegio son esencialmente importantes, como pasos iniciales para protegerla. Creo que si te estandarizas en un modelo en lugar de otro, tal vez usar tecnología de engaño para entender cuándo se están manipulando los límites podría ser muy beneficioso para ti, dado que, ya sabes, proteger los límites en sí mismos sigue siendo una forma de arte. Para mí, al menos. Y luego, por último, pero no menos importante, no subestimes al adversario. Tienes carteles de cibercrimen que están siendo protegidos por cuatro estados-nación rebeldes que te están persiguiendo activamente. Y hemos visto evidencia de colaboración ahora, colaboración real entre esos cuatro estados-nación rebeldes, o los llamo el Eje del Ciber, y están apuntando intencionalmente a instituciones financieras en este momento para contrarrestar las sanciones económicas.
Johnny Hand: Así que, Tom, gracias por la gran conversación de hoy. No sé si vamos a emocionar a la gente o aterrorizarlos con esto, pero realmente apreciamos que compartas tus ideas sobre la velocidad de la máquina, las amenazas que enfrentan las instituciones financieras, y no podemos esperar a tenerte de vuelta en el programa en el futuro.
Tom Kellermann: Muchas gracias.
Johnny Hand: Wow. Dustin, ese fue un episodio increíble, y sentí que podríamos haber hablado con Tom para siempre, especialmente mientras comenzamos a desglosar cómo la industria financiera está siendo impactada, cómo la IA agéntica en la ruta de ataque está surgiendo, y luego también cómo estamos viendo esos paralelismos donde estamos pasando de solo robar datos a realmente interrumpir esas operaciones donde los atacantes están luchando en vivo mientras intentas hacer tu investigación.
Dustin Childs: Sí, y porque el cibercrimen ahora está industrializado y agéntico, la defensa a ritmo humano simplemente no puede mantenerse. Y la respuesta de Tom es detección y respuesta impulsada por IA, lo que libera a tus analistas para hacer el trabajo de mayor valor en lugar de reemplazarlos.
Johnny Hand: Sí, ese es un buen punto, y seré honesto, como CISO, me gustó otra pieza de la que habló, que fue muy estructural. Tienes que elevar al CISO y reequilibrar el gasto hacia las personas y la detección gestionada, no solo las herramientas. Así que esa estructura realmente es una buena estrategia.
Dustin Childs: Sabes, este episodio me recordó a nuestro primer episodio con Robert McArdle, también, donde habló sobre el crimen de vibración y cómo la IA agéntica se está utilizando para criminales como servicio. Y eso podría ser algo que quieras escuchar también si tienes tiempo después de que este episodio termine. Queremos agradecer a Tom Kellermann por unirse a nosotros y compartir su investigación con nosotros. Consulta las notas del programa para su informe, Modern Bank Heist 2026, y cómo conectarte con Tom.
Johnny Hand: Y eso es todo para otro episodio de AI Security Brief. Queremos agradecerte por unirte a nosotros, y nuestro objetivo siempre es albergar conversaciones que te hagan pensar de manera diferente sobre la seguridad. Y si lo hace, por favor suscríbete para que no te pierdas lo que viene.
Dustin Childs: AI Security Brief es mezclado y producido por Elliott Peltzman, con música original de Amneajynx. La productora ejecutiva es Jennifer Eiben, con estrategia de contenido de Ma'ayan Plaut y Melany Gallant. Ayuda adicional en producción de Liz Stokes. Edición de video por Sarelle Joppy y Brigitte Criqui-Wild.
Johnny Hand: Muchas gracias por escuchar, y nos vemos la próxima vez en AI Security Brief. [ Música ]
