Cuando una empresa piensa en un ciberataque, normalmente imagina a una persona frente a varias pantallas intentando encontrar una puerta de entrada a sus sistemas. La inteligencia artificial está cambiando algunas de esas tareas, pero los casos documentados muestran una realidad más concreta: los atacantes están utilizando estos modelos como herramientas para acelerar determinadas partes de sus operaciones, en lugar de dejar que una IA tome por completo el control de un ataque.
En ese escenario aparece DeepSeek, un modelo de inteligencia artificial de código abierto que, según una investigación de la firma taiwanesa TeamT5 citada por Bloomberg, comenzó a ser utilizado por varios grupos de hackers vinculados al gobierno de China. Los investigadores detectaron un aumento de sus operaciones después de integrar modelos de IA en diferentes etapas de sus actividades, desde la búsqueda de información hasta la generación de código y el movimiento dentro de redes que ya habían sido comprometidas.
El dato resulta relevante para usuarios y empresas porque muestra una aplicación práctica de la inteligencia artificial que no ocurre necesariamente de forma espectacular. En muchos casos, la tecnología se utiliza para hacer más rápidas tareas que anteriormente requerían mucho tiempo y trabajo manual.
DeepSeek ayuda a acelerar distintas etapas de los ataques
De acuerdo con la información proporcionada, TeamT5 identificó varios grupos que utilizaron inteligencia artificial de diferentes maneras. Uno de ellos, conocido como Grimfengxi, recurrió a DeepSeek para generar código relacionado con exploits. Otro colectivo, Huapi, utilizó el modelo durante una operación dirigida contra el sistema de correo de una empresa taiwanesa.
También aparece Teleboyi, grupo que empleó IA para recopilar más de 1,000 direcciones IP y elaborar un mapa de los dominios de una compañía objetivo. En otro caso, un colectivo identificado como Slime22 utilizó Claude Code para hacerse pasar por un ingeniero que realizaba pruebas de seguridad dentro de una empresa tecnológica de Taiwán.
Los ejemplos tienen un elemento en común: la inteligencia artificial participa en determinadas tareas dentro de una operación más amplia. La información disponible no describe a estos sistemas como herramientas capaces de entrar por sí solas en cualquier organización y completar un ataque de principio a fin. En cambio, los modelos aparecen integrados en procesos donde todavía intervienen los atacantes.
Para una empresa, esta diferencia es importante porque la IA puede convertirse en una herramienta para acelerar actividades que ya formaban parte de los ataques tradicionales. La tecnología no necesariamente crea un método completamente nuevo, pero puede reducir el tiempo necesario para realizar determinadas tareas.
¿Por qué los hackers están utilizando DeepSeek?
Charles Li, analista jefe de TeamT5, señaló que DeepSeek resulta atractivo para los atacantes por una combinación de capacidad y restricciones de seguridad. Según su explicación, el modelo ofrece un nivel de potencia suficiente para determinadas tareas y cuenta con menos barreras de ciberseguridad que otros modelos occidentales.
Los investigadores también señalaron que los modelos desarrollados en Occidente continúan siendo buscados por los atacantes. Sin embargo, sus sistemas de seguridad pueden hacer más difícil que sean utilizados para determinadas actividades relacionadas con ciberataques.
La elección de una herramienta de inteligencia artificial, por tanto, puede depender no solamente de sus capacidades, sino también de las restricciones que tenga incorporadas. En los casos documentados, los atacantes encontraron en DeepSeek una alternativa que podían utilizar en diferentes etapas de sus operaciones.
Para los usuarios comunes, esto refuerza la importancia de mantener actualizados los dispositivos, utilizar contraseñas diferentes y prestar atención a mensajes o correos inesperados. Para las empresas, el escenario pone el foco en la necesidad de vigilar accesos, sistemas de correo y actividad dentro de sus redes.
La IA todavía necesita ayuda humana para hackear
Uno de los puntos centrales de la información es que los hackers todavía no han conseguido convertir estos modelos en sistemas capaces de realizar ciberataques completamente autónomos con una efectividad constante.
Un caso documentado por Unit 42 ayuda a mostrar esta diferencia. En esa operación, un atacante intentó vulnerar más de 460 objetivos combinando procedimientos automáticos y trabajo manual. El sistema construido sobre DeepSeek buscó software vulnerable en internet, localizó código de exploits en GitHub y utilizó razonamiento automatizado para determinar posibles objetivos.
Durante el proceso, el sistema encontró una plataforma de automatización llamada n8n y detectó que existían más de 25,000 instalaciones expuestas en China. Después examinó una muestra y encontró tres versiones vulnerables, pero las tres requerían autenticación y el agente no logró explotarlas.
Los ataques que sí tuvieron éxito fueron realizados manualmente. En esos casos, el atacante consiguió extraer información y ejecutar comandos en sistemas de las víctimas. La experiencia documentada muestra una diferencia entre que una IA pueda realizar determinadas tareas y que sea capaz de completar por sí misma todo un ciberataque.
Los sistemas de defensa siguen siendo una parte importante
La efectividad de una herramienta de inteligencia artificial no ocurre en un vacío. Los sistemas informáticos de una empresa pueden contar con mecanismos de vigilancia, controles de acceso y herramientas destinadas a detectar actividades sospechosas.
Los casos mencionados señalan precisamente que algunas pruebas de IA han mostrado mejores resultados en entornos controlados o simulados que en situaciones reales. Cuando aparecen sistemas de defensa activos, autenticaciones y otros obstáculos, una operación automatizada puede encontrar dificultades que no estaban presentes durante una prueba.
Esto significa que la protección digital continúa dependiendo de varias capas. Una empresa no puede asumir que tener una herramienta de seguridad significa que todos los ataques serán detenidos, pero tampoco que la utilización de IA por parte de un atacante garantiza que podrá superar sus defensas.
Para los usuarios, las medidas básicas siguen teniendo valor. No compartir códigos de acceso, desconfiar de archivos inesperados, mantener actualizados los dispositivos y utilizar mecanismos adicionales de protección puede dificultar que una cuenta o equipo se convierta en una puerta de entrada.
Claude Code también apareció en campañas de espionaje
El uso de IA por parte de grupos vinculados a China no se limita a DeepSeek. En noviembre de 2025, Anthropic afirmó que un grupo respaldado por el Estado chino había utilizado Claude Code para automatizar entre 80% y 90% de una campaña de espionaje dirigida contra unas 30 organizaciones.
Aunque solamente una parte reducida de los intentos tuvo éxito, el caso generó debate entre especialistas en ciberseguridad sobre el papel que pueden desempeñar los agentes de inteligencia artificial en operaciones reales.
La discusión también provocó comparaciones con herramientas de seguridad informática que llevan años disponibles. Dan Tentler, fundador de Phobos Group, cuestionó que los atacantes pudieran conseguir con estos modelos capacidades completamente nuevas. Kevin Beaumont, por su parte, comparó estas herramientas con Metasploit, un framework creado en 2003 para desarrollar y ejecutar exploits contra objetivos remotos.
La comparación apunta a una cuestión sencilla: muchas de las acciones que ahora pueden apoyarse en inteligencia artificial ya existían antes de la llegada de los modelos generativos. Lo que cambia es la manera en que algunas tareas pueden realizarse y la velocidad con la que pueden procesarse.
Qué significa esto para usuarios y empresas
El avance de la inteligencia artificial en el ámbito de la ciberseguridad no significa que cualquier persona pueda pedirle a una IA que ataque una empresa y observar cómo todo ocurre automáticamente. Los casos descritos muestran una situación más concreta: grupos de hackers están utilizando modelos como herramientas auxiliares para tareas específicas dentro de operaciones que todavía requieren intervención humana.
Para una empresa, esto hace especialmente importante prestar atención a los puntos que pueden ser utilizados durante una intrusión. El correo electrónico, las cuentas de empleados, los servicios expuestos en internet y los sistemas sin actualizar continúan siendo elementos relevantes dentro de la seguridad digital.
También resulta importante que los trabajadores conozcan las formas habituales de engaño. Un correo que solicita información urgente, una invitación inesperada para descargar un archivo o una petición de acceso que parece proceder de un compañero pueden convertirse en riesgos si no se comprueba su origen.
La evolución de estas herramientas muestra que la inteligencia artificial ya forma parte del panorama de la ciberseguridad. DeepSeek aparece entre los modelos utilizados por grupos de hackers vinculados a China para acelerar diferentes tareas, mientras otros casos muestran que herramientas como Claude Code también pueden incorporarse a campañas de espionaje.
Sin embargo, los casos documentados mantienen una diferencia importante: la IA todavía no demuestra una capacidad constante para realizar ciberataques completos sin supervisión humana. Los resultados más efectivos descritos hasta ahora siguen combinando automatización con intervención de personas, especialmente cuando aparecen sistemas de autenticación y defensas activas.
Para usuarios y empresas, el mensaje práctico es claro: la protección digital continúa dependiendo de medidas básicas y de vigilancia constante. La inteligencia artificial puede acelerar determinadas acciones de los atacantes, pero también puede convivir con sistemas de defensa que dificulten una intrusión. En ese equilibrio, DeepSeek se ha convertido en uno de los nombres que muestran cómo la IA está entrando en una nueva etapa de la seguridad digital.
