Índice
Los grandes modelos de lenguaje (LLMs) se imponen poco a poco en todos los sectores, incluido el altamente estratégico de la ciberseguridad. Pero, ¿qué cambian realmente? Un estudio interdisciplinario llevado a cabo por investigadores de la Universidad de Nueva York ofrece un estado preciso y ambicioso de esta convergencia, y propone una hoja de ruta concreta. Desglose.
Modelos capaces de anticipar, analizar y actuar
El primer aporte de los LLMs en ciberseguridad es claro: permiten explotar a gran escala masas de textos hasta ahora infrautilizados, como los informes de incidentes, los flujos de inteligencia sobre amenazas (CTI) o los registros del sistema. Resultado: una detección más rápida de vulnerabilidades, ataques y comportamientos sospechosos, con la capacidad de generar resúmenes, clasificar incidentes o sugerir acciones.
Los LLMs también pueden ser especializados: modelos como SecureBERT, entrenados en corpus de ciberseguridad, ofrecen resultados mucho mejores que los modelos generalistas. Sin embargo, es necesario afinarlos correctamente, con prompts bien diseñados y datos pertinentes, un conocimiento todavía raro en las empresas.
Ciberseguridad de las redes 5G: la IA al rescate
El informe también destaca el interés de los LLMs para probar la seguridad de las redes 5G, a menudo mal protegidas en la fase pre-cifrado. Coexisten dos enfoques:
-
Top-down: extracción de reglas a partir de miles de páginas de especificaciones técnicas.
-
Bottom-up: análisis directo del tráfico para detectar anomalías.
En ambos casos, los LLMs permiten automatizar la generación de casos de prueba, simular ataques por fuzzing, y detectar fallos difíciles de detectar manualmente.
Hacia una nueva generación de agentes autónomos de ciberseguridad
El estudio insiste en la emergencia de agentes "basados en LLM" capaces no solo de analizar amenazas, sino también de razonar, planificar e interactuar con su entorno. Gracias a técnicas como la Generación Aumentada por Recuperación (RAG) o Graph-RAG, estos agentes pueden cruzar múltiples fuentes para producir respuestas complejas y contextuales.
Aún mejor: organizando estos agentes en sistemas multi-agentes (o a través de meta-agentes), es posible cubrir todo el ciclo de respuesta a un ataque: detección, análisis, reacción, remediación.
Formar, simular, asegurar: los usos pedagógicos se precisan
Otra innovación notable concierne al uso de los LLMs en la formación en ciberseguridad. Ya se han realizado cursos experimentales: integran resúmenes de código, detección de vulnerabilidades, inteligencia sobre amenazas o incluso ingeniería social asistida por IA. Seis lecciones clave emergen: creatividad, portabilidad, escepticismo, agilidad, seguridad y costo.
Entre automatización y vigilancia humana
Pero cuidado: los LLMs no son panaceas. Su falta de coherencia, su tendencia a las alucinaciones, los sesgos estadísticos, o su vulnerabilidad a los ataques por "jailbreak" (elusión de salvaguardas) imponen salvaguardas sólidas.
El informe recomienda, por lo tanto, un enfoque híbrido: asociar los LLMs a humanos en el circuito, multiplicar las verificaciones, especializar los modelos en lugar de aspirar a un modelo único, e introducir mecanismos de control y auditoría robustos (blockchain, métricas de confianza, etc.).
Por una IA de confianza en ciberseguridad
Los investigadores insisten en tres pilares para construir una IA de confianza:
-
Interpretabilidad: las decisiones de los modelos deben ser comprensibles.
-
Robustez: deben resistir a variaciones y ataques adversos.
-
Equidad: evitar sesgos, especialmente en áreas sensibles como la justicia o las finanzas.
Su objetivo: lograr que la IA no sea un nuevo riesgo, sino más bien un activo sostenible para reforzar la resiliencia de las organizaciones frente a amenazas cada vez más complejas.
Referencia del estudio: arXiv:2505.00841v1
Para entender mejor
¿Qué es <span dir="ltr">Retrieval-Augmented Generation (RAG)<\/span> y cómo se utiliza en agentes autónomos de ciberseguridad?
<span dir="ltr">Retrieval-Augmented Generation (RAG)<\/span> es una técnica que combina la generación de texto con un sistema de recuperación de información para producir respuestas contextualizadas. En ciberseguridad, permite a los agentes autónomos acceder e integrar información de múltiples fuentes para desarrollar respuestas adaptadas a las amenazas identificadas.
¿Por qué es importante entrenar modelos LLM especializados para ciberseguridad, en comparación con el uso de modelos generalistas?
Los modelos LLM especializados, como SecureBERT, están entrenados en corpus de datos específicos de ciberseguridad, lo que les permite comprender y identificar mejor las amenazas únicas de este campo. Los modelos generalistas a menudo carecen de la profundidad necesaria para abordar problemas de seguridad complejos y podrían pasar por alto matices esenciales para detectar ciberataques.