Una inteligencia artificial ha logrado desafiar a los hackers humanos en su propio terreno —y casi ganar—, según un nuevo estudio de Stanford University y Carnegie Mellon University. La investigación demuestra que los agentes de IA pueden desempeñarse al nivel de los profesionales humanos en pruebas de penetración reales —los llamados pentests—, simulaciones que buscan detectar vulnerabilidades antes de que lo hagan los atacantes.
El protagonista del estudio es ARTEMIS (Automated Red Teaming Engine with Multi-agent Intelligent Supervision), un agente desarrollado por Stanford que combina modelos avanzados como GPT-5 de OpenAI, Claude Sonnet 4 de Anthropic y Gemini 2.5 Pro de Google DeepMind. Su desempeño ha sido tan notable que superó a nueve de los diez expertos humanos que participaron en el experimento, logrando identificar nueve vulnerabilidades válidas con una tasa de acierto del 82%.
Una prueba real en una red universitaria
El escenario no fue un laboratorio cerrado ni una simulación. Los investigadores desplegaron tanto a los humanos como a los agentes de IA en la red de una gran universidad, compuesta por 12 subredes y unos 8.000 equipos entre servidores, ordenadores, sistemas IoT y dispositivos Windows y Linux. Cada participante, humano o agente, tenía diez horas para explorar, detectar y documentar vulnerabilidades dentro de un entorno de seguridad controlado.
Mientras los humanos se apoyaban en sus herramientas habituales —como nmap, Burp Suite o sqlmap—, ARTEMIS se movía con una lógica distinta: dividía el trabajo entre múltiples subagentes autónomos, cada uno con tareas específicas como escanear puertos, analizar logs o probar credenciales por defecto. Su arquitectura de supervisión le permitía coordinar decenas de acciones en paralelo, algo imposible para un solo humano.
De aprendiz a cazador experto
ARTEMIS destacó especialmente en tareas repetitivas y sistemáticas. Fue capaz de detectar configuraciones inseguras en servidores Dell iDRAC, vulnerabilidades de Cross-Origin Resource Sharing (CORS) y fallos en servicios LDAP que daban acceso no autorizado a miles de credenciales universitarias. También descubrió errores de seguridad en dispositivos TinyPilot y servidores web mal configurados.
Según los investigadores, su rendimiento no se basa en un conocimiento técnico superior al humano, sino en su capacidad de organización, persistencia y paralelismo. “Los agentes autónomos no se cansan, no se distraen y pueden ejecutar múltiples hipótesis en paralelo”, explican los autores del estudio. “Esto los convierte en aliados ideales para reforzar la ciberseguridad corporativa”.
El coste: una cuarta parte del trabajo humano
El análisis económico es igual de impactante. Mantener ARTEMIS funcionando con GPT-5 costó apenas 18 dólares por hora, mientras que el promedio de un hacker ético profesional en Estados Unidos ronda los 60 dólares por hora. En términos anuales, el sistema sería cuatro veces más barato que un equipo humano equivalente, con una productividad comparable o superior en muchos casos.
Limitaciones humanas y de máquina
No obstante, el estudio reconoce que la IA aún tiene limitaciones. ARTEMIS tuvo dificultades en entornos gráficos —por ejemplo, al interactuar con paneles web complejos— y generó algunos falsos positivos al interpretar mal respuestas HTTP. Aun así, fue capaz de encontrar vulnerabilidades que los humanos pasaron por alto.
Por su parte, los hackers humanos demostraron una mejor capacidad para contextualizar riesgos y priorizar amenazas. “El mejor rendimiento lo ofrecen los equipos mixtos”, señala el informe. “La colaboración entre agentes autónomos y analistas humanos puede multiplicar la eficacia de las auditorías de seguridad”.
Del hacking ético a la defensa proactiva
El proyecto, que forma parte del programa Stanford Trinity, tiene como objetivo principal reforzar la ciberseguridad institucional. Los investigadores planean utilizar ARTEMIS como base para crear herramientas abiertas de defensa digital, capaces de vigilar sistemas complejos en tiempo real y anticipar ataques antes de que ocurran.
El código fuente y los materiales del estudio están disponibles públicamente en GitHub, en un gesto de transparencia y colaboración con la comunidad de seguridad global. “Nuestra intención es democratizar las capacidades de defensa, no concentrarlas”, señalan los autores.
Un futuro de cooperación entre humanos y máquinas
Más que una amenaza, los investigadores ven en la IA una oportunidad. Su visión es clara: los agentes como ARTEMIS podrían convertirse en asistentes constantes para los equipos de seguridad, realizando tareas pesadas de exploración y monitorización mientras los expertos humanos interpretan los resultados y diseñan estrategias defensivas.
“La IA no va a sustituir a los hackers éticos”, concluyen los autores del informe, “pero sí les dará superpoderes”. En una era en la que los ataques informáticos crecen exponencialmente, el estudio sugiere que la colaboración entre humanos y máquinas será clave para mantener la seguridad digital global.
La fotografía de representación de este artículo pertenece a Glen Carrie y ha sido publiada en Unsplash
