En un entorno donde miles de dispositivos, aplicaciones y usuarios generan eventos continuamente, analizar cada registro de forma manual puede resultar insuficiente y es aqu\u00ed donde entran el Machine Learning, los modelos de detecci\u00f3n de anomal\u00edas y las herramientas de IA generativa.<\/p>\n\n\n\n
IA en ciberseguridad: detectar comportamientos sospechosos<\/strong><\/h2>\n\n\n\nRecordando el incidente de Binance<\/em><\/strong><\/a> y la campa\u00f1a contra dispositivos de red, ambos casos nos permiten reflexionar sobre un aspecto fundamental: los accesos y las credenciales, porque una cuenta puede tener una contrase\u00f1a correcta y, a\u00fan as\u00ed, estar siendo utilizada por un atacante.<\/p>\n\n\n\nPor ejemplo, imaginemos que un usuario normalmente inicia sesi\u00f3n desde Venezuela, durante el horario laboral y desde un dispositivo conocido y de repente, aparecen m\u00faltiples intentos fallidos, accesos desde ubicaciones inusuales y solicitudes de autenticaci\u00f3n multifactor que el usuario no reconoce. Estos comportamientos no demuestran por s\u00ed mismos que exista una intrusi\u00f3n, pero pueden convertirse en se\u00f1ales de alerta.<\/p>\n\n\n\n
\u00bfC\u00f3mo ayuda la IA?<\/strong><\/h3>\n\n\n\nUna de las aplicaciones m\u00e1s interesantes de la IA en ciberseguridad es la detecci\u00f3n de anomal\u00edas. Mediante algoritmos de Machine Learning podemos analizar patrones de autenticaci\u00f3n e identificar comportamientos que se apartan de la actividad habitual de los usuarios.<\/p>\n\n\n\n
Los algoritmos de detecci\u00f3n de anomal\u00edas pueden aprender patrones habituales de actividad y se\u00f1alar eventos que se alejan significativamente de ese comportamiento y algunas variables que pueden analizarse son:<\/p>\n\n\n\n
\n- Frecuencia de intentos de inicio de sesi\u00f3n.<\/li>\n\n\n\n
- Cantidad de cuentas diferentes a las que intenta acceder una misma direcci\u00f3n IP.<\/li>\n\n\n\n
- Horarios de actividad.<\/li>\n\n\n\n
- Ubicaciones de acceso no habituales.<\/li>\n\n\n\n
- N\u00famero de intentos fallidos de autenticaci\u00f3n multifactor.<\/li>\n<\/ul>\n\n\n\n
El objetivo es generar alertas que permitan a los equipos de seguridad<\/a> investigar posibles comportamientos an\u00f3malos.<\/p>\n\n\n\nEste incidente permite comprender por qu\u00e9 la inteligencia artificial aplicada a la seguridad inform\u00e1tica puede resultar \u00fatil para analizar patrones de acceso, identificar anomal\u00edas y apoyar la supervisi\u00f3n de las cuentas privilegiadas.<\/p>\n\n\n\n
IA para priorizar vulnerabilidades y acelerar la respuesta<\/strong><\/h2>\n\n\n\nOtro caso fue el de PHP2Shell<\/em><\/strong><\/a> demuestra que una vulnerabilidad puede afectar a una gran cantidad de sistemas que utilizan un mismo componente tecnol\u00f3gico y las organizaciones necesitan saber qu\u00e9 vulnerabilidades deben atender primero.<\/p>\n\n\n\nLa IA puede ayudar a clasificar y priorizar las alertas teniendo en cuenta diferentes variables:<\/p>\n\n\n\n
\n- Severidad t\u00e9cnica de la vulnerabilidad.<\/li>\n\n\n\n
- Existencia de c\u00f3digo de explotaci\u00f3n p\u00fablico.<\/li>\n\n\n\n
- Evidencia de explotaci\u00f3n activa.<\/li>\n\n\n\n
- Exposici\u00f3n del servicio a Internet.<\/li>\n\n\n\n
- Importancia del activo afectado.<\/li>\n\n\n\n
- Posibles consecuencias para la organizaci\u00f3n.<\/li>\n<\/ul>\n\n\n\n
La IA en ciberseguridad tambi\u00e9n puede ayudar a priorizar vulnerabilidades, relacionando su gravedad t\u00e9cnica con la exposici\u00f3n de los sistemas y el impacto potencial para una organizaci\u00f3n.<\/p>\n\n\n\n
Por ejemplo, una vulnerabilidad cr\u00edtica en un servidor de administraci\u00f3n expuesto a Internet puede requerir atenci\u00f3n inmediata, mientras que otra vulnerabilidad de igual puntuaci\u00f3n en un entorno aislado podr\u00eda tener una prioridad diferente, y la IA puede ayudar a relacionar esa informaci\u00f3n, pero la decisi\u00f3n de aplicar correcciones y gestionar el riesgo debe seguir un proceso t\u00e9cnico verificable.<\/p>\n\n\n\n
En este contexto, el Machine Learning para detectar amenazas puede complementar las herramientas tradicionales de seguridad, ayudando a relacionar vulnerabilidades, exposici\u00f3n de sistemas y comportamientos sospechosos.<\/p>\n\n\n
\n![\"\"](\"https:\/\/www.codemotion.com\/magazine\/wp-content\/uploads\/2026\/10\/1YzbQEEqxMxnxlwVcomFahA.jpeg\")
<\/a><\/figure>\n<\/div>\n\n\nIA y DevSecOps: proteger el c\u00f3digo y la cadena de suministro<\/strong><\/h2>\n\n\n\nPor otra parte, el incidente relacionado con Rank Math PRO<\/em><\/strong><\/a> nos recuerda que una actualizaci\u00f3n de software tambi\u00e9n puede convertirse en un vector de ataque. Aqu\u00ed podemos incorporar la IA al proceso de desarrollo seguro o DevSecOps. Algunas aplicaciones pr\u00e1cticas son:<\/p>\n\n\n\n\n- Revisar c\u00f3digo para identificar patrones potencialmente vulnerables.<\/li>\n\n\n\n
- Analizar dependencias y bibliotecas de terceros.<\/li>\n\n\n\n
- Detectar secretos expuestos en repositorios.<\/li>\n\n\n\n
- Ayudar a interpretar resultados de herramientas de an\u00e1lisis est\u00e1tico.<\/li>\n\n\n\n
- Identificar modificaciones inesperadas en archivos.<\/li>\n\n\n\n
- Facilitar la revisi\u00f3n de cambios antes de integrar c\u00f3digo en producci\u00f3n.<\/li>\n<\/ul>\n\n\n\n
Otra aplicaci\u00f3n de la IA en ciberseguridad es el uso de modelos generativos para interpretar alertas, organizar evidencias y facilitar la documentaci\u00f3n de incidentes. La IA generativa puede ayudar a explicar por qu\u00e9 una funci\u00f3n presenta un posible problema y sugerir alternativas, mientras que herramientas especializadas realizan las comprobaciones t\u00e9cnicas.<\/p>\n\n\n\n
Una recomendaci\u00f3n importante es que generar c\u00f3digo con IA no significa que ese c\u00f3digo sea seguro, porque todo resultado debe revisarse, probarse y validarse antes de utilizarse.<\/p>\n\n\n\n
Incorporar IA al desarrollo seguro de software tambi\u00e9n permite explorar nuevas formas de revisar c\u00f3digo, analizar dependencias y detectar posibles riesgos antes de que una aplicaci\u00f3n llegue a producci\u00f3n.<\/p>\n\n\n\n
Proteger infraestructuras f\u00edsicas mediante detecci\u00f3n inteligente<\/strong><\/h2>\n\n\n\nEl ataque a los sistemas de refrigeraci\u00f3n de supermercados<\/em><\/strong><\/a> franceses muestra que la ciberseguridad tambi\u00e9n tiene consecuencias en el mundo f\u00edsico. Imaginemos un sistema industrial que monitorea continuamente la temperatura de c\u00e1maras frigor\u00edficas. Un modelo de detecci\u00f3n de anomal\u00edas puede analizar las lecturas y se\u00f1alar comportamientos inesperados, como aumentos de temperatura fuera de los patrones habituales.<\/p>\n\n\n\nEsto podr\u00eda ayudar a identificar:<\/p>\n\n\n\n
\n- Cambios repentinos en las temperaturas.<\/li>\n\n\n\n
- Activaciones inusuales de los ciclos de refrigeraci\u00f3n.<\/li>\n\n\n\n
- Diferencias entre sensores.<\/li>\n\n\n\n
- Comportamientos que se alejan de los par\u00e1metros operativos normales.<\/li>\n<\/ul>\n\n\n\n
Sin embargo, estos sistemas deben trabajar junto con controles industriales tradicionales, l\u00edmites de seguridad y mecanismos de intervenci\u00f3n humana y la IA debe ayudar a detectar problemas, pero no convertirse en el \u00fanico mecanismo encargado de proteger una infraestructura f\u00edsica.<\/p>\n\n\n\n
La detecci\u00f3n inteligente de amenazas tambi\u00e9n puede aplicarse a entornos industriales, donde analizar los datos de sensores ayuda a reconocer desviaciones en el funcionamiento habitual de los equipos.<\/p>\n\n\n\n
IA generativa para analizar amenazas digitales<\/strong><\/h3>\n\n\n\nOtra aplicaci\u00f3n interesante es el uso de modelos de lenguaje para ayudar a interpretar alertas y documentaci\u00f3n t\u00e9cnica. Por ejemplo, un analista puede proporcionar registros previamente anonimizados y pedir al modelo que:<\/p>\n\n\n\n
\n- Explique qu\u00e9 comportamiento resulta inusual.<\/li>\n\n\n\n
- Agrupe eventos relacionados.<\/li>\n\n\n\n
- Identifique qu\u00e9 informaci\u00f3n falta para investigar.<\/li>\n\n\n\n
- Organice una cronolog\u00eda de los acontecimientos.<\/li>\n\n\n\n
- Sugiera controles preventivos.<\/li>\n\n\n\n
- Prepare un resumen t\u00e9cnico para el equipo de respuesta.<\/li>\n<\/ul>\n\n\n\n
Esto puede ahorrar tiempo durante el an\u00e1lisis de incidentes, no obstante, los modelos generativos pueden equivocarse, inventar explicaciones o confundir una actividad leg\u00edtima con una amenaza. <\/p>\n\n\n\n
Por eso, nunca debemos utilizar una respuesta generada por IA como prueba definitiva de una intrusi\u00f3n ni como confirmaci\u00f3n de la identidad de un atacante. Los registros, indicadores t\u00e9cnicos y evidencias deben ser verificados por especialistas.<\/p>\n\n\n\n
La inteligencia artificial en ciberseguridad tambi\u00e9n puede facilitar el trabajo de los analistas al organizar registros, resumir alertas y documentar posibles incidentes, siempre con validaci\u00f3n humana.<\/p>\n\n\n\n
Machine Learning en ciberseguridad: detectar accesos an\u00f3malos con Python<\/strong><\/h3>\n\n\n\nAprender sobre IA en ciberseguridad con Python nos permite pasar de los conceptos a la experimentaci\u00f3n, construyendo herramientas que analizan datos y se\u00f1alan comportamientos potencialmente an\u00f3malos.<\/p>\n\n\n\n
Para comprender c\u00f3mo llevar la IA en ciberseguridad, pasemos de la teor\u00eda a un ejemplo pr\u00e1ctico y construiremos un detector de anomal\u00edas utilizando Python, pandas y el algoritmo Isolation Forest<\/em> de scikit-learn. Este algoritmo se utiliza para identificar observaciones que presentan caracter\u00edsticas diferentes de las habituales dentro de un conjunto de datos.<\/p>\n\n\n\nEn nuestro ejemplo, simularemos un escenario empresarial en el que queremos detectar posibles comportamientos sospechosos en los registros de autenticaci\u00f3n.<\/p>\n\n\n\n
\u00bfQu\u00e9 vamos a analizar?<\/em><\/strong><\/h4>\n\n\n\nCada registro representar\u00e1 una ventana de actividad de acceso y contendr\u00e1 estas variables:<\/p>\n\n\n
\n![\"\"](\"https:\/\/www.codemotion.com\/magazine\/wp-content\/uploads\/2026\/10\/1uZmxqURCaDNIAfsYyJOxSg.png\")
<\/figure>\n<\/div>\n\n\nEl modelo aprender\u00e1 a partir de un conjunto hist\u00f3rico de actividad considerada normal y despu\u00e9s evaluar\u00e1 nuevos registros.<\/p>\n\n\n\n
Paso 1. Instalar las dependencias<\/em><\/strong><\/h4>\n\n\npip install pandas scikit-learn<\/code><\/span><\/pre>\n\n\nPaso 2. Preparar los datos<\/em><\/strong><\/h4>\n\n\n\nNecesitamos dos archivos CSV:<\/p>\n\n\n\n
\naccesos_normales.csv<\/code>: contiene registros hist\u00f3ricos revisados y representativos de actividad leg\u00edtima.<\/li>\n\n\n\naccesos_recientes.csv<\/code>: contiene los registros que queremos analizar.<\/li>\n<\/ul>\n\n\n\nAmbos deben tener las mismas columnas:<\/p>\n\n\n
%%writefile<\/span> accesos_recientes<\/span>.csv<\/span>\nfallos<\/span>,cuentas_distintas<\/span>,hora_utc<\/span>,pais_nuevo<\/span>,mfa_fallida<\/span>\n0,1,10,0,0\n1,1,11,0,0\n0,1,14,0,0\n2,1,9,0,0<\/code><\/span>Code language:<\/span> CSS<\/span> (<\/span>css<\/span>)<\/span><\/small><\/pre>\n\n%%writefile<\/span> accesos_normales<\/span>.csv<\/span>\nfallos<\/span>,cuentas_distintas<\/span>,hora_utc<\/span>,pais_nuevo<\/span>,mfa_fallida<\/span>\n0,1,12,0,0\n0,1,13,0,0\n1,1,15,0,0\n0,1,16,0,0\n0,1,9,0,0\n0,2,14,0,0\n1,1,10,0,0\n0,1,17,0,0\n0,1,8,0,0\n0,1,22,0,0<\/code><\/span>Code language:<\/span> CSS<\/span> (<\/span>css<\/span>)<\/span><\/small><\/pre>\n\n\nLos valores anteriores son ilustrativos. En una implementaci\u00f3n real, estos datos deben obtenerse de registros de autenticaci\u00f3n leg\u00edtimos, despu\u00e9s de anonimizar y preparar la informaci\u00f3n.<\/p>\n\n\n\n
Paso 3. Construir nuestro detector de anomal\u00edas<\/em><\/strong><\/h4>\n\n\nimport pandas as<\/span> pd\n\nfrom sklearn.ensemble import IsolationForest\n\n# Variables que analizar\u00e1 el modelo<\/span>\nFEATURES = [\n \"fallos\"<\/span>,\n \"cuentas_distintas\"<\/span>,\n \"hora_utc\"<\/span>,\n \"pais_nuevo\"<\/span>,\n \"mfa_fallida\"<\/span>\n]\n\n# Cargar los datos<\/span>\nhistorial = pd.read_csv(\"accesos_normales.csv\"<\/span>)\nrecientes = pd.read_csv(\"accesos_recientes.csv\"<\/span>)\n\n# Validar las columnas requeridas<\/span>\nfor<\/span> nombre, datos in [\n (\"historial\"<\/span>, historial),\n (\"recientes\"<\/span>, recientes)\n]:\n faltantes = set(FEATURES) - set(datos.columns)\n\n if<\/span> faltantes:\n raise ValueError(\n f\"Faltan columnas en {nombre}: {faltantes}\"<\/span>\n )\n\n if<\/span> datos[FEATURES].isna().any().any():\n raise ValueError(\n f\"Hay valores vac\u00edos en {nombre}\"<\/span>\n )\n\n# Crear el modelo de detecci\u00f3n<\/span>\nmodelo = IsolationForest(\n n_estimators=200<\/span>,\n contamination=0.02<\/span>,\n random_state=42<\/span>\n)\n\n# Entrenar con actividad hist\u00f3rica revisada<\/span>\nmodelo.fit(historial[FEATURES])\n\n# Analizar los registros recientes<\/span>\npredicciones = modelo.predict(recientes[FEATURES])\n\n# -1 representa una posible anomal\u00eda<\/span>\n# 1 representa un comportamiento no identificado como an\u00f3malo<\/span>\nrecientes[\"alerta_ia\"<\/span>] = predicciones == -1<\/span>\n\n# Obtener una puntuaci\u00f3n de anomal\u00eda<\/span>\nrecientes[\"score_anomalia\"<\/span>] = (\n modelo.decision_function(recientes[FEATURES])\n)\n\n# Mostrar los eventos que requieren revisi\u00f3n<\/span>\nalertas = recientes[\n recientes[\"alerta_ia\"<\/span>]\n].sort_values(\"score_anomalia\"<\/span>)\n\nprint<\/span>(\"RESULTADO DEL AN\u00c1LISIS\"<\/span>)\n\nif<\/span> alertas.empty<\/span>:\n print<\/span>(\"No se detectaron anomal\u00edas con este modelo.\"<\/span>)\nelse<\/span>:\n print<\/span>(\"Eventos que requieren revisi\u00f3n:\"<\/span>)\n\n print<\/span>(\n alertas[\n FEATURES + [\"score_anomalia\"<\/span>]\n ].to_string(index=False<\/span>)\n )<\/code><\/span>Code language:<\/span> PHP<\/span> (<\/span>php<\/span>)<\/span><\/small><\/pre>\n\n\nPaso 4. \u00bfQu\u00e9 est\u00e1 haciendo realmente el modelo?<\/em><\/strong><\/h4>\n\n\n\nIsolation Forest<\/em> utiliza \u00e1rboles de aislamiento para separar observaciones que se comportan de manera diferente al resto.<\/p>\n\n\n\nEn t\u00e9rminos sencillos, intenta identificar qu\u00e9 registros son m\u00e1s f\u00e1ciles de aislar por presentar caracter\u00edsticas poco habituales.<\/p>\n\n\n\n
El resultado es una clasificaci\u00f3n:<\/p>\n\n\n\n
\n1<\/code>: el registro no ha sido identificado como anomal\u00eda.<\/li>\n\n\n\n-1<\/code>: el registro ha sido identificado como posible anomal\u00eda.<\/li>\n<\/ul>\n\n\n\nTambi\u00e9n obtenemos score_anomalia<\/code>, una puntuaci\u00f3n que permite ordenar los eventos seg\u00fan su grado de aislamiento. Los valores m\u00e1s bajos indican observaciones m\u00e1s at\u00edpicas.<\/p>\n\n\n\nImportante:<\/strong> una anomal\u00eda no equivale necesariamente a un ataque. Un empleado que viaja, un cambio de horario o una nueva ubicaci\u00f3n de trabajo pueden generar alertas leg\u00edtimas.<\/p>\n\n\n\nAdem\u00e1s, el par\u00e1metro contamination=0.02<\/code> establece una proporci\u00f3n esperada de anomal\u00edas para determinar el umbral de clasificaci\u00f3n. No significa que el 2 % de los registros sean ataques confirmados.<\/p>\n\n\n\nPor eso, nuestro detector no bloquea usuarios autom\u00e1ticamente: genera se\u00f1ales para que un equipo de seguridad pueda investigarlas.<\/p>\n\n\n\n
\n- Laboratorio:<\/em><\/strong> https:\/\/github.com\/Orliluq\/amenazas_digitales.git<\/a><\/li>\n\n\n\n
- Newsletter Investigaci\u00f3n:<\/em><\/strong> https:\/\/www.linkedin.com\/pulse\/el-terror-se-qued%25C3%25B3-en-halloween-los-ciberataques-2026-dun–vrjje<\/a><\/li>\n<\/ul>\n\n\n\n
![\"\"](\"https:\/\/www.codemotion.com\/magazine\/wp-content\/uploads\/2026\/10\/1-uj9WK01sbnv4PLEU9ooOw.jpeg\")
<\/a><\/figure>\n<\/div>\n\n\n\u00bfD\u00f3nde podemos incorporar IA generativa?<\/strong><\/h2>\n\n\n\nDespu\u00e9s de detectar los registros sospechosos, podemos utilizar un modelo de lenguaje para preparar un resumen comprensible para los analistas. Por ejemplo:<\/p>\n\n\n\n
Prompt para analizar alertas de seguridad:<\/strong><\/h3>\n\n\n\n\nAct\u00faa como asistente de an\u00e1lisis de ciberseguridad defensiva. Analiza los siguientes eventos de autenticaci\u00f3n anonimizados. Identifica patrones inusuales, explica qu\u00e9 indicadores merecen investigaci\u00f3n y sugiere acciones preventivas.<\/em><\/p>\n<\/blockquote>\n\n\n\n\nNo afirmes que existe una intrusi\u00f3n sin evidencias suficientes. Distingue entre hechos observados, hip\u00f3tesis y recomendaciones. No inventes informaci\u00f3n que no est\u00e9 presente en los registros.<\/em><\/p>\n<\/blockquote>\n\n\n\nDe esta manera combinamos dos capacidades:<\/p>\n\n\n\n
\n- Machine Learning:<\/strong> detecta comportamientos estad\u00edsticamente inusuales.<\/li>\n\n\n\n
- IA generativa:<\/strong> ayuda a interpretar los resultados y documentar posibles acciones.<\/li>\n<\/ul>\n\n\n\n
No necesitamos que la IA tome todas las decisiones. Necesitamos que ayude a las personas a tomar decisiones mejor informadas.<\/p>\n\n\n\n
La mejor defensa combina tecnolog\u00eda, procesos y criterio humano<\/strong><\/h2>\n\n\n\nLos ataques de octubre dejan una ense\u00f1anza importante: la seguridad no depende de una sola herramienta, no basta con instalar un firewall, activar MFA o incorporar un modelo de inteligencia artificial.<\/p>\n\n\n\n
Necesitamos una estrategia que combine prevenci\u00f3n, monitoreo, an\u00e1lisis, respuesta y recuperaci\u00f3n. La IA puede ayudarnos a reconocer patrones, encontrar se\u00f1ales entre millones de registros y acelerar determinadas tareas. El c\u00f3digo nos permite convertir esas ideas en herramientas concretas. Y el conocimiento humano sigue siendo esencial para validar los resultados y actuar de forma responsable.<\/p>\n\n\n\n
Porque en ciberseguridad no se trata solamente de descubrir qui\u00e9n consigui\u00f3 entrar, se trata de entender c\u00f3mo ocurri\u00f3, limitar el impacto y evitar que vuelva a suceder.<\/p>\n\n\n\n
La inteligencia artificial puede ayudarnos a detectar el pr\u00f3ximo susto, pero la seguridad se construye desde el dise\u00f1o, una l\u00ednea de c\u00f3digo y una decisi\u00f3n a la vez.<\/em><\/strong><\/p>\n\n\n
Por ejemplo, imaginemos que un usuario normalmente inicia sesi\u00f3n desde Venezuela, durante el horario laboral y desde un dispositivo conocido y de repente, aparecen m\u00faltiples intentos fallidos, accesos desde ubicaciones inusuales y solicitudes de autenticaci\u00f3n multifactor que el usuario no reconoce. Estos comportamientos no demuestran por s\u00ed mismos que exista una intrusi\u00f3n, pero pueden convertirse en se\u00f1ales de alerta.<\/p>\n\n\n\n
\u00bfC\u00f3mo ayuda la IA?<\/strong><\/h3>\n\n\n\nUna de las aplicaciones m\u00e1s interesantes de la IA en ciberseguridad es la detecci\u00f3n de anomal\u00edas. Mediante algoritmos de Machine Learning podemos analizar patrones de autenticaci\u00f3n e identificar comportamientos que se apartan de la actividad habitual de los usuarios.<\/p>\n\n\n\n
Los algoritmos de detecci\u00f3n de anomal\u00edas pueden aprender patrones habituales de actividad y se\u00f1alar eventos que se alejan significativamente de ese comportamiento y algunas variables que pueden analizarse son:<\/p>\n\n\n\n
\n- Frecuencia de intentos de inicio de sesi\u00f3n.<\/li>\n\n\n\n
- Cantidad de cuentas diferentes a las que intenta acceder una misma direcci\u00f3n IP.<\/li>\n\n\n\n
- Horarios de actividad.<\/li>\n\n\n\n
- Ubicaciones de acceso no habituales.<\/li>\n\n\n\n
- N\u00famero de intentos fallidos de autenticaci\u00f3n multifactor.<\/li>\n<\/ul>\n\n\n\n
El objetivo es generar alertas que permitan a los equipos de seguridad<\/a> investigar posibles comportamientos an\u00f3malos.<\/p>\n\n\n\nEste incidente permite comprender por qu\u00e9 la inteligencia artificial aplicada a la seguridad inform\u00e1tica puede resultar \u00fatil para analizar patrones de acceso, identificar anomal\u00edas y apoyar la supervisi\u00f3n de las cuentas privilegiadas.<\/p>\n\n\n\n
IA para priorizar vulnerabilidades y acelerar la respuesta<\/strong><\/h2>\n\n\n\nOtro caso fue el de PHP2Shell<\/em><\/strong><\/a> demuestra que una vulnerabilidad puede afectar a una gran cantidad de sistemas que utilizan un mismo componente tecnol\u00f3gico y las organizaciones necesitan saber qu\u00e9 vulnerabilidades deben atender primero.<\/p>\n\n\n\nLa IA puede ayudar a clasificar y priorizar las alertas teniendo en cuenta diferentes variables:<\/p>\n\n\n\n
\n- Severidad t\u00e9cnica de la vulnerabilidad.<\/li>\n\n\n\n
- Existencia de c\u00f3digo de explotaci\u00f3n p\u00fablico.<\/li>\n\n\n\n
- Evidencia de explotaci\u00f3n activa.<\/li>\n\n\n\n
- Exposici\u00f3n del servicio a Internet.<\/li>\n\n\n\n
- Importancia del activo afectado.<\/li>\n\n\n\n
- Posibles consecuencias para la organizaci\u00f3n.<\/li>\n<\/ul>\n\n\n\n
La IA en ciberseguridad tambi\u00e9n puede ayudar a priorizar vulnerabilidades, relacionando su gravedad t\u00e9cnica con la exposici\u00f3n de los sistemas y el impacto potencial para una organizaci\u00f3n.<\/p>\n\n\n\n
Por ejemplo, una vulnerabilidad cr\u00edtica en un servidor de administraci\u00f3n expuesto a Internet puede requerir atenci\u00f3n inmediata, mientras que otra vulnerabilidad de igual puntuaci\u00f3n en un entorno aislado podr\u00eda tener una prioridad diferente, y la IA puede ayudar a relacionar esa informaci\u00f3n, pero la decisi\u00f3n de aplicar correcciones y gestionar el riesgo debe seguir un proceso t\u00e9cnico verificable.<\/p>\n\n\n\n
En este contexto, el Machine Learning para detectar amenazas puede complementar las herramientas tradicionales de seguridad, ayudando a relacionar vulnerabilidades, exposici\u00f3n de sistemas y comportamientos sospechosos.<\/p>\n\n\n
\n<\/a><\/figure>\n<\/div>\n\n\nIA y DevSecOps: proteger el c\u00f3digo y la cadena de suministro<\/strong><\/h2>\n\n\n\nPor otra parte, el incidente relacionado con Rank Math PRO<\/em><\/strong><\/a> nos recuerda que una actualizaci\u00f3n de software tambi\u00e9n puede convertirse en un vector de ataque. Aqu\u00ed podemos incorporar la IA al proceso de desarrollo seguro o DevSecOps. Algunas aplicaciones pr\u00e1cticas son:<\/p>\n\n\n\n\n- Revisar c\u00f3digo para identificar patrones potencialmente vulnerables.<\/li>\n\n\n\n
- Analizar dependencias y bibliotecas de terceros.<\/li>\n\n\n\n
- Detectar secretos expuestos en repositorios.<\/li>\n\n\n\n
- Ayudar a interpretar resultados de herramientas de an\u00e1lisis est\u00e1tico.<\/li>\n\n\n\n
- Identificar modificaciones inesperadas en archivos.<\/li>\n\n\n\n
- Facilitar la revisi\u00f3n de cambios antes de integrar c\u00f3digo en producci\u00f3n.<\/li>\n<\/ul>\n\n\n\n
Otra aplicaci\u00f3n de la IA en ciberseguridad es el uso de modelos generativos para interpretar alertas, organizar evidencias y facilitar la documentaci\u00f3n de incidentes. La IA generativa puede ayudar a explicar por qu\u00e9 una funci\u00f3n presenta un posible problema y sugerir alternativas, mientras que herramientas especializadas realizan las comprobaciones t\u00e9cnicas.<\/p>\n\n\n\n
Una recomendaci\u00f3n importante es que generar c\u00f3digo con IA no significa que ese c\u00f3digo sea seguro, porque todo resultado debe revisarse, probarse y validarse antes de utilizarse.<\/p>\n\n\n\n
Incorporar IA al desarrollo seguro de software tambi\u00e9n permite explorar nuevas formas de revisar c\u00f3digo, analizar dependencias y detectar posibles riesgos antes de que una aplicaci\u00f3n llegue a producci\u00f3n.<\/p>\n\n\n\n
Proteger infraestructuras f\u00edsicas mediante detecci\u00f3n inteligente<\/strong><\/h2>\n\n\n\nEl ataque a los sistemas de refrigeraci\u00f3n de supermercados<\/em><\/strong><\/a> franceses muestra que la ciberseguridad tambi\u00e9n tiene consecuencias en el mundo f\u00edsico. Imaginemos un sistema industrial que monitorea continuamente la temperatura de c\u00e1maras frigor\u00edficas. Un modelo de detecci\u00f3n de anomal\u00edas puede analizar las lecturas y se\u00f1alar comportamientos inesperados, como aumentos de temperatura fuera de los patrones habituales.<\/p>\n\n\n\nEsto podr\u00eda ayudar a identificar:<\/p>\n\n\n\n
\n- Cambios repentinos en las temperaturas.<\/li>\n\n\n\n
- Activaciones inusuales de los ciclos de refrigeraci\u00f3n.<\/li>\n\n\n\n
- Diferencias entre sensores.<\/li>\n\n\n\n
- Comportamientos que se alejan de los par\u00e1metros operativos normales.<\/li>\n<\/ul>\n\n\n\n
Sin embargo, estos sistemas deben trabajar junto con controles industriales tradicionales, l\u00edmites de seguridad y mecanismos de intervenci\u00f3n humana y la IA debe ayudar a detectar problemas, pero no convertirse en el \u00fanico mecanismo encargado de proteger una infraestructura f\u00edsica.<\/p>\n\n\n\n
La detecci\u00f3n inteligente de amenazas tambi\u00e9n puede aplicarse a entornos industriales, donde analizar los datos de sensores ayuda a reconocer desviaciones en el funcionamiento habitual de los equipos.<\/p>\n\n\n\n
IA generativa para analizar amenazas digitales<\/strong><\/h3>\n\n\n\nOtra aplicaci\u00f3n interesante es el uso de modelos de lenguaje para ayudar a interpretar alertas y documentaci\u00f3n t\u00e9cnica. Por ejemplo, un analista puede proporcionar registros previamente anonimizados y pedir al modelo que:<\/p>\n\n\n\n
\n- Explique qu\u00e9 comportamiento resulta inusual.<\/li>\n\n\n\n
- Agrupe eventos relacionados.<\/li>\n\n\n\n
- Identifique qu\u00e9 informaci\u00f3n falta para investigar.<\/li>\n\n\n\n
- Organice una cronolog\u00eda de los acontecimientos.<\/li>\n\n\n\n
- Sugiera controles preventivos.<\/li>\n\n\n\n
- Prepare un resumen t\u00e9cnico para el equipo de respuesta.<\/li>\n<\/ul>\n\n\n\n
Esto puede ahorrar tiempo durante el an\u00e1lisis de incidentes, no obstante, los modelos generativos pueden equivocarse, inventar explicaciones o confundir una actividad leg\u00edtima con una amenaza. <\/p>\n\n\n\n
Por eso, nunca debemos utilizar una respuesta generada por IA como prueba definitiva de una intrusi\u00f3n ni como confirmaci\u00f3n de la identidad de un atacante. Los registros, indicadores t\u00e9cnicos y evidencias deben ser verificados por especialistas.<\/p>\n\n\n\n
La inteligencia artificial en ciberseguridad tambi\u00e9n puede facilitar el trabajo de los analistas al organizar registros, resumir alertas y documentar posibles incidentes, siempre con validaci\u00f3n humana.<\/p>\n\n\n\n
Machine Learning en ciberseguridad: detectar accesos an\u00f3malos con Python<\/strong><\/h3>\n\n\n\nAprender sobre IA en ciberseguridad con Python nos permite pasar de los conceptos a la experimentaci\u00f3n, construyendo herramientas que analizan datos y se\u00f1alan comportamientos potencialmente an\u00f3malos.<\/p>\n\n\n\n
Para comprender c\u00f3mo llevar la IA en ciberseguridad, pasemos de la teor\u00eda a un ejemplo pr\u00e1ctico y construiremos un detector de anomal\u00edas utilizando Python, pandas y el algoritmo Isolation Forest<\/em> de scikit-learn. Este algoritmo se utiliza para identificar observaciones que presentan caracter\u00edsticas diferentes de las habituales dentro de un conjunto de datos.<\/p>\n\n\n\nEn nuestro ejemplo, simularemos un escenario empresarial en el que queremos detectar posibles comportamientos sospechosos en los registros de autenticaci\u00f3n.<\/p>\n\n\n\n
\u00bfQu\u00e9 vamos a analizar?<\/em><\/strong><\/h4>\n\n\n\nCada registro representar\u00e1 una ventana de actividad de acceso y contendr\u00e1 estas variables:<\/p>\n\n\n
\n<\/figure>\n<\/div>\n\n\nEl modelo aprender\u00e1 a partir de un conjunto hist\u00f3rico de actividad considerada normal y despu\u00e9s evaluar\u00e1 nuevos registros.<\/p>\n\n\n\n
Paso 1. Instalar las dependencias<\/em><\/strong><\/h4>\n\n\npip install pandas scikit-learn<\/code><\/span><\/pre>\n\n\nPaso 2. Preparar los datos<\/em><\/strong><\/h4>\n\n\n\nNecesitamos dos archivos CSV:<\/p>\n\n\n\n
\naccesos_normales.csv<\/code>: contiene registros hist\u00f3ricos revisados y representativos de actividad leg\u00edtima.<\/li>\n\n\n\naccesos_recientes.csv<\/code>: contiene los registros que queremos analizar.<\/li>\n<\/ul>\n\n\n\nAmbos deben tener las mismas columnas:<\/p>\n\n\n
%%writefile<\/span> accesos_recientes<\/span>.csv<\/span>\nfallos<\/span>,cuentas_distintas<\/span>,hora_utc<\/span>,pais_nuevo<\/span>,mfa_fallida<\/span>\n0,1,10,0,0\n1,1,11,0,0\n0,1,14,0,0\n2,1,9,0,0<\/code><\/span>Code language:<\/span> CSS<\/span> (<\/span>css<\/span>)<\/span><\/small><\/pre>\n\n%%writefile<\/span> accesos_normales<\/span>.csv<\/span>\nfallos<\/span>,cuentas_distintas<\/span>,hora_utc<\/span>,pais_nuevo<\/span>,mfa_fallida<\/span>\n0,1,12,0,0\n0,1,13,0,0\n1,1,15,0,0\n0,1,16,0,0\n0,1,9,0,0\n0,2,14,0,0\n1,1,10,0,0\n0,1,17,0,0\n0,1,8,0,0\n0,1,22,0,0<\/code><\/span>Code language:<\/span> CSS<\/span> (<\/span>css<\/span>)<\/span><\/small><\/pre>\n\n\nLos valores anteriores son ilustrativos. En una implementaci\u00f3n real, estos datos deben obtenerse de registros de autenticaci\u00f3n leg\u00edtimos, despu\u00e9s de anonimizar y preparar la informaci\u00f3n.<\/p>\n\n\n\n
Paso 3. Construir nuestro detector de anomal\u00edas<\/em><\/strong><\/h4>\n\n\nimport pandas as<\/span> pd\n\nfrom sklearn.ensemble import IsolationForest\n\n# Variables que analizar\u00e1 el modelo<\/span>\nFEATURES = [\n \"fallos\"<\/span>,\n \"cuentas_distintas\"<\/span>,\n \"hora_utc\"<\/span>,\n \"pais_nuevo\"<\/span>,\n \"mfa_fallida\"<\/span>\n]\n\n# Cargar los datos<\/span>\nhistorial = pd.read_csv(\"accesos_normales.csv\"<\/span>)\nrecientes = pd.read_csv(\"accesos_recientes.csv\"<\/span>)\n\n# Validar las columnas requeridas<\/span>\nfor<\/span> nombre, datos in [\n (\"historial\"<\/span>, historial),\n (\"recientes\"<\/span>, recientes)\n]:\n faltantes = set(FEATURES) - set(datos.columns)\n\n if<\/span> faltantes:\n raise ValueError(\n f\"Faltan columnas en {nombre}: {faltantes}\"<\/span>\n )\n\n if<\/span> datos[FEATURES].isna().any().any():\n raise ValueError(\n f\"Hay valores vac\u00edos en {nombre}\"<\/span>\n )\n\n# Crear el modelo de detecci\u00f3n<\/span>\nmodelo = IsolationForest(\n n_estimators=200<\/span>,\n contamination=0.02<\/span>,\n random_state=42<\/span>\n)\n\n# Entrenar con actividad hist\u00f3rica revisada<\/span>\nmodelo.fit(historial[FEATURES])\n\n# Analizar los registros recientes<\/span>\npredicciones = modelo.predict(recientes[FEATURES])\n\n# -1 representa una posible anomal\u00eda<\/span>\n# 1 representa un comportamiento no identificado como an\u00f3malo<\/span>\nrecientes[\"alerta_ia\"<\/span>] = predicciones == -1<\/span>\n\n# Obtener una puntuaci\u00f3n de anomal\u00eda<\/span>\nrecientes[\"score_anomalia\"<\/span>] = (\n modelo.decision_function(recientes[FEATURES])\n)\n\n# Mostrar los eventos que requieren revisi\u00f3n<\/span>\nalertas = recientes[\n recientes[\"alerta_ia\"<\/span>]\n].sort_values(\"score_anomalia\"<\/span>)\n\nprint<\/span>(\"RESULTADO DEL AN\u00c1LISIS\"<\/span>)\n\nif<\/span> alertas.empty<\/span>:\n print<\/span>(\"No se detectaron anomal\u00edas con este modelo.\"<\/span>)\nelse<\/span>:\n print<\/span>(\"Eventos que requieren revisi\u00f3n:\"<\/span>)\n\n print<\/span>(\n alertas[\n FEATURES + [\"score_anomalia\"<\/span>]\n ].to_string(index=False<\/span>)\n )<\/code><\/span>Code language:<\/span> PHP<\/span> (<\/span>php<\/span>)<\/span><\/small><\/pre>\n\n\nPaso 4. \u00bfQu\u00e9 est\u00e1 haciendo realmente el modelo?<\/em><\/strong><\/h4>\n\n\n\nIsolation Forest<\/em> utiliza \u00e1rboles de aislamiento para separar observaciones que se comportan de manera diferente al resto.<\/p>\n\n\n\nEn t\u00e9rminos sencillos, intenta identificar qu\u00e9 registros son m\u00e1s f\u00e1ciles de aislar por presentar caracter\u00edsticas poco habituales.<\/p>\n\n\n\n
El resultado es una clasificaci\u00f3n:<\/p>\n\n\n\n
\n1<\/code>: el registro no ha sido identificado como anomal\u00eda.<\/li>\n\n\n\n-1<\/code>: el registro ha sido identificado como posible anomal\u00eda.<\/li>\n<\/ul>\n\n\n\nTambi\u00e9n obtenemos score_anomalia<\/code>, una puntuaci\u00f3n que permite ordenar los eventos seg\u00fan su grado de aislamiento. Los valores m\u00e1s bajos indican observaciones m\u00e1s at\u00edpicas.<\/p>\n\n\n\nImportante:<\/strong> una anomal\u00eda no equivale necesariamente a un ataque. Un empleado que viaja, un cambio de horario o una nueva ubicaci\u00f3n de trabajo pueden generar alertas leg\u00edtimas.<\/p>\n\n\n\nAdem\u00e1s, el par\u00e1metro contamination=0.02<\/code> establece una proporci\u00f3n esperada de anomal\u00edas para determinar el umbral de clasificaci\u00f3n. No significa que el 2 % de los registros sean ataques confirmados.<\/p>\n\n\n\nPor eso, nuestro detector no bloquea usuarios autom\u00e1ticamente: genera se\u00f1ales para que un equipo de seguridad pueda investigarlas.<\/p>\n\n\n\n
\n- Laboratorio:<\/em><\/strong> https:\/\/github.com\/Orliluq\/amenazas_digitales.git<\/a><\/li>\n\n\n\n
- Newsletter Investigaci\u00f3n:<\/em><\/strong> https:\/\/www.linkedin.com\/pulse\/el-terror-se-qued%25C3%25B3-en-halloween-los-ciberataques-2026-dun–vrjje<\/a><\/li>\n<\/ul>\n\n\n\n
<\/a><\/figure>\n<\/div>\n\n\n\u00bfD\u00f3nde podemos incorporar IA generativa?<\/strong><\/h2>\n\n\n\nDespu\u00e9s de detectar los registros sospechosos, podemos utilizar un modelo de lenguaje para preparar un resumen comprensible para los analistas. Por ejemplo:<\/p>\n\n\n\n
Prompt para analizar alertas de seguridad:<\/strong><\/h3>\n\n\n\n\nAct\u00faa como asistente de an\u00e1lisis de ciberseguridad defensiva. Analiza los siguientes eventos de autenticaci\u00f3n anonimizados. Identifica patrones inusuales, explica qu\u00e9 indicadores merecen investigaci\u00f3n y sugiere acciones preventivas.<\/em><\/p>\n<\/blockquote>\n\n\n\n\nNo afirmes que existe una intrusi\u00f3n sin evidencias suficientes. Distingue entre hechos observados, hip\u00f3tesis y recomendaciones. No inventes informaci\u00f3n que no est\u00e9 presente en los registros.<\/em><\/p>\n<\/blockquote>\n\n\n\nDe esta manera combinamos dos capacidades:<\/p>\n\n\n\n
\n- Machine Learning:<\/strong> detecta comportamientos estad\u00edsticamente inusuales.<\/li>\n\n\n\n
- IA generativa:<\/strong> ayuda a interpretar los resultados y documentar posibles acciones.<\/li>\n<\/ul>\n\n\n\n
No necesitamos que la IA tome todas las decisiones. Necesitamos que ayude a las personas a tomar decisiones mejor informadas.<\/p>\n\n\n\n
La mejor defensa combina tecnolog\u00eda, procesos y criterio humano<\/strong><\/h2>\n\n\n\nLos ataques de octubre dejan una ense\u00f1anza importante: la seguridad no depende de una sola herramienta, no basta con instalar un firewall, activar MFA o incorporar un modelo de inteligencia artificial.<\/p>\n\n\n\n
Necesitamos una estrategia que combine prevenci\u00f3n, monitoreo, an\u00e1lisis, respuesta y recuperaci\u00f3n. La IA puede ayudarnos a reconocer patrones, encontrar se\u00f1ales entre millones de registros y acelerar determinadas tareas. El c\u00f3digo nos permite convertir esas ideas en herramientas concretas. Y el conocimiento humano sigue siendo esencial para validar los resultados y actuar de forma responsable.<\/p>\n\n\n\n
Porque en ciberseguridad no se trata solamente de descubrir qui\u00e9n consigui\u00f3 entrar, se trata de entender c\u00f3mo ocurri\u00f3, limitar el impacto y evitar que vuelva a suceder.<\/p>\n\n\n\n
La inteligencia artificial puede ayudarnos a detectar el pr\u00f3ximo susto, pero la seguridad se construye desde el dise\u00f1o, una l\u00ednea de c\u00f3digo y una decisi\u00f3n a la vez.<\/em><\/strong><\/p>\n\n\n
El objetivo es generar alertas que permitan a los equipos de seguridad<\/a> investigar posibles comportamientos an\u00f3malos.<\/p>\n\n\n\n Este incidente permite comprender por qu\u00e9 la inteligencia artificial aplicada a la seguridad inform\u00e1tica puede resultar \u00fatil para analizar patrones de acceso, identificar anomal\u00edas y apoyar la supervisi\u00f3n de las cuentas privilegiadas.<\/p>\n\n\n\n Otro caso fue el de PHP2Shell<\/em><\/strong><\/a> demuestra que una vulnerabilidad puede afectar a una gran cantidad de sistemas que utilizan un mismo componente tecnol\u00f3gico y las organizaciones necesitan saber qu\u00e9 vulnerabilidades deben atender primero.<\/p>\n\n\n\n La IA puede ayudar a clasificar y priorizar las alertas teniendo en cuenta diferentes variables:<\/p>\n\n\n\n La IA en ciberseguridad tambi\u00e9n puede ayudar a priorizar vulnerabilidades, relacionando su gravedad t\u00e9cnica con la exposici\u00f3n de los sistemas y el impacto potencial para una organizaci\u00f3n.<\/p>\n\n\n\n Por ejemplo, una vulnerabilidad cr\u00edtica en un servidor de administraci\u00f3n expuesto a Internet puede requerir atenci\u00f3n inmediata, mientras que otra vulnerabilidad de igual puntuaci\u00f3n en un entorno aislado podr\u00eda tener una prioridad diferente, y la IA puede ayudar a relacionar esa informaci\u00f3n, pero la decisi\u00f3n de aplicar correcciones y gestionar el riesgo debe seguir un proceso t\u00e9cnico verificable.<\/p>\n\n\n\n En este contexto, el Machine Learning para detectar amenazas puede complementar las herramientas tradicionales de seguridad, ayudando a relacionar vulnerabilidades, exposici\u00f3n de sistemas y comportamientos sospechosos.<\/p>\n\n\n Por otra parte, el incidente relacionado con Rank Math PRO<\/em><\/strong><\/a> nos recuerda que una actualizaci\u00f3n de software tambi\u00e9n puede convertirse en un vector de ataque. Aqu\u00ed podemos incorporar la IA al proceso de desarrollo seguro o DevSecOps. Algunas aplicaciones pr\u00e1cticas son:<\/p>\n\n\n\n Otra aplicaci\u00f3n de la IA en ciberseguridad es el uso de modelos generativos para interpretar alertas, organizar evidencias y facilitar la documentaci\u00f3n de incidentes. La IA generativa puede ayudar a explicar por qu\u00e9 una funci\u00f3n presenta un posible problema y sugerir alternativas, mientras que herramientas especializadas realizan las comprobaciones t\u00e9cnicas.<\/p>\n\n\n\n Una recomendaci\u00f3n importante es que generar c\u00f3digo con IA no significa que ese c\u00f3digo sea seguro, porque todo resultado debe revisarse, probarse y validarse antes de utilizarse.<\/p>\n\n\n\n Incorporar IA al desarrollo seguro de software tambi\u00e9n permite explorar nuevas formas de revisar c\u00f3digo, analizar dependencias y detectar posibles riesgos antes de que una aplicaci\u00f3n llegue a producci\u00f3n.<\/p>\n\n\n\n El ataque a los sistemas de refrigeraci\u00f3n de supermercados<\/em><\/strong><\/a> franceses muestra que la ciberseguridad tambi\u00e9n tiene consecuencias en el mundo f\u00edsico. Imaginemos un sistema industrial que monitorea continuamente la temperatura de c\u00e1maras frigor\u00edficas. Un modelo de detecci\u00f3n de anomal\u00edas puede analizar las lecturas y se\u00f1alar comportamientos inesperados, como aumentos de temperatura fuera de los patrones habituales.<\/p>\n\n\n\n Esto podr\u00eda ayudar a identificar:<\/p>\n\n\n\n Sin embargo, estos sistemas deben trabajar junto con controles industriales tradicionales, l\u00edmites de seguridad y mecanismos de intervenci\u00f3n humana y la IA debe ayudar a detectar problemas, pero no convertirse en el \u00fanico mecanismo encargado de proteger una infraestructura f\u00edsica.<\/p>\n\n\n\n La detecci\u00f3n inteligente de amenazas tambi\u00e9n puede aplicarse a entornos industriales, donde analizar los datos de sensores ayuda a reconocer desviaciones en el funcionamiento habitual de los equipos.<\/p>\n\n\n\n Otra aplicaci\u00f3n interesante es el uso de modelos de lenguaje para ayudar a interpretar alertas y documentaci\u00f3n t\u00e9cnica. Por ejemplo, un analista puede proporcionar registros previamente anonimizados y pedir al modelo que:<\/p>\n\n\n\n Esto puede ahorrar tiempo durante el an\u00e1lisis de incidentes, no obstante, los modelos generativos pueden equivocarse, inventar explicaciones o confundir una actividad leg\u00edtima con una amenaza. <\/p>\n\n\n\n Por eso, nunca debemos utilizar una respuesta generada por IA como prueba definitiva de una intrusi\u00f3n ni como confirmaci\u00f3n de la identidad de un atacante. Los registros, indicadores t\u00e9cnicos y evidencias deben ser verificados por especialistas.<\/p>\n\n\n\n La inteligencia artificial en ciberseguridad tambi\u00e9n puede facilitar el trabajo de los analistas al organizar registros, resumir alertas y documentar posibles incidentes, siempre con validaci\u00f3n humana.<\/p>\n\n\n\n Aprender sobre IA en ciberseguridad con Python nos permite pasar de los conceptos a la experimentaci\u00f3n, construyendo herramientas que analizan datos y se\u00f1alan comportamientos potencialmente an\u00f3malos.<\/p>\n\n\n\n Para comprender c\u00f3mo llevar la IA en ciberseguridad, pasemos de la teor\u00eda a un ejemplo pr\u00e1ctico y construiremos un detector de anomal\u00edas utilizando Python, pandas y el algoritmo Isolation Forest<\/em> de scikit-learn. Este algoritmo se utiliza para identificar observaciones que presentan caracter\u00edsticas diferentes de las habituales dentro de un conjunto de datos.<\/p>\n\n\n\n En nuestro ejemplo, simularemos un escenario empresarial en el que queremos detectar posibles comportamientos sospechosos en los registros de autenticaci\u00f3n.<\/p>\n\n\n\n Cada registro representar\u00e1 una ventana de actividad de acceso y contendr\u00e1 estas variables:<\/p>\n\n\n El modelo aprender\u00e1 a partir de un conjunto hist\u00f3rico de actividad considerada normal y despu\u00e9s evaluar\u00e1 nuevos registros.<\/p>\n\n\n\n Necesitamos dos archivos CSV:<\/p>\n\n\n\n Ambos deben tener las mismas columnas:<\/p>\n\n\n Los valores anteriores son ilustrativos. En una implementaci\u00f3n real, estos datos deben obtenerse de registros de autenticaci\u00f3n leg\u00edtimos, despu\u00e9s de anonimizar y preparar la informaci\u00f3n.<\/p>\n\n\n\n Isolation Forest<\/em> utiliza \u00e1rboles de aislamiento para separar observaciones que se comportan de manera diferente al resto.<\/p>\n\n\n\n En t\u00e9rminos sencillos, intenta identificar qu\u00e9 registros son m\u00e1s f\u00e1ciles de aislar por presentar caracter\u00edsticas poco habituales.<\/p>\n\n\n\n El resultado es una clasificaci\u00f3n:<\/p>\n\n\n\n Tambi\u00e9n obtenemos Importante:<\/strong> una anomal\u00eda no equivale necesariamente a un ataque. Un empleado que viaja, un cambio de horario o una nueva ubicaci\u00f3n de trabajo pueden generar alertas leg\u00edtimas.<\/p>\n\n\n\n Adem\u00e1s, el par\u00e1metro Por eso, nuestro detector no bloquea usuarios autom\u00e1ticamente: genera se\u00f1ales para que un equipo de seguridad pueda investigarlas.<\/p>\n\n\n\n Despu\u00e9s de detectar los registros sospechosos, podemos utilizar un modelo de lenguaje para preparar un resumen comprensible para los analistas. Por ejemplo:<\/p>\n\n\n\n Act\u00faa como asistente de an\u00e1lisis de ciberseguridad defensiva. Analiza los siguientes eventos de autenticaci\u00f3n anonimizados. Identifica patrones inusuales, explica qu\u00e9 indicadores merecen investigaci\u00f3n y sugiere acciones preventivas.<\/em><\/p>\n<\/blockquote>\n\n\n\n No afirmes que existe una intrusi\u00f3n sin evidencias suficientes. Distingue entre hechos observados, hip\u00f3tesis y recomendaciones. No inventes informaci\u00f3n que no est\u00e9 presente en los registros.<\/em><\/p>\n<\/blockquote>\n\n\n\n De esta manera combinamos dos capacidades:<\/p>\n\n\n\n No necesitamos que la IA tome todas las decisiones. Necesitamos que ayude a las personas a tomar decisiones mejor informadas.<\/p>\n\n\n\n Los ataques de octubre dejan una ense\u00f1anza importante: la seguridad no depende de una sola herramienta, no basta con instalar un firewall, activar MFA o incorporar un modelo de inteligencia artificial.<\/p>\n\n\n\n Necesitamos una estrategia que combine prevenci\u00f3n, monitoreo, an\u00e1lisis, respuesta y recuperaci\u00f3n. La IA puede ayudarnos a reconocer patrones, encontrar se\u00f1ales entre millones de registros y acelerar determinadas tareas. El c\u00f3digo nos permite convertir esas ideas en herramientas concretas. Y el conocimiento humano sigue siendo esencial para validar los resultados y actuar de forma responsable.<\/p>\n\n\n\n Porque en ciberseguridad no se trata solamente de descubrir qui\u00e9n consigui\u00f3 entrar, se trata de entender c\u00f3mo ocurri\u00f3, limitar el impacto y evitar que vuelva a suceder.<\/p>\n\n\n\n La inteligencia artificial puede ayudarnos a detectar el pr\u00f3ximo susto, pero la seguridad se construye desde el dise\u00f1o, una l\u00ednea de c\u00f3digo y una decisi\u00f3n a la vez.<\/em><\/strong><\/p>\n\n\nIA para priorizar vulnerabilidades y acelerar la respuesta<\/strong><\/h2>\n\n\n\n
\n
<\/a><\/figure>\n<\/div>\n\n\nIA y DevSecOps: proteger el c\u00f3digo y la cadena de suministro<\/strong><\/h2>\n\n\n\n
\n
Proteger infraestructuras f\u00edsicas mediante detecci\u00f3n inteligente<\/strong><\/h2>\n\n\n\n
\n
IA generativa para analizar amenazas digitales<\/strong><\/h3>\n\n\n\n
\n
Machine Learning en ciberseguridad: detectar accesos an\u00f3malos con Python<\/strong><\/h3>\n\n\n\n
\u00bfQu\u00e9 vamos a analizar?<\/em><\/strong><\/h4>\n\n\n\n
<\/figure>\n<\/div>\n\n\nPaso 1. Instalar las dependencias<\/em><\/strong><\/h4>\n\n\n
pip install pandas scikit-learn<\/code><\/span><\/pre>\n\n\nPaso 2. Preparar los datos<\/em><\/strong><\/h4>\n\n\n\n
\n
accesos_normales.csv<\/code>: contiene registros hist\u00f3ricos revisados y representativos de actividad leg\u00edtima.<\/li>\n\n\n\naccesos_recientes.csv<\/code>: contiene los registros que queremos analizar.<\/li>\n<\/ul>\n\n\n\n%%writefile<\/span> accesos_recientes<\/span>.csv<\/span>\nfallos<\/span>,cuentas_distintas<\/span>,hora_utc<\/span>,pais_nuevo<\/span>,mfa_fallida<\/span>\n0,1,10,0,0\n1,1,11,0,0\n0,1,14,0,0\n2,1,9,0,0<\/code><\/span>Code language:<\/span> CSS<\/span> (<\/span>css<\/span>)<\/span><\/small><\/pre>\n\n%%writefile<\/span> accesos_normales<\/span>.csv<\/span>\nfallos<\/span>,cuentas_distintas<\/span>,hora_utc<\/span>,pais_nuevo<\/span>,mfa_fallida<\/span>\n0,1,12,0,0\n0,1,13,0,0\n1,1,15,0,0\n0,1,16,0,0\n0,1,9,0,0\n0,2,14,0,0\n1,1,10,0,0\n0,1,17,0,0\n0,1,8,0,0\n0,1,22,0,0<\/code><\/span>Code language:<\/span> CSS<\/span> (<\/span>css<\/span>)<\/span><\/small><\/pre>\n\n\nPaso 3. Construir nuestro detector de anomal\u00edas<\/em><\/strong><\/h4>\n\n\n
import pandas as<\/span> pd\n\nfrom sklearn.ensemble import IsolationForest\n\n# Variables que analizar\u00e1 el modelo<\/span>\nFEATURES = [\n \"fallos\"<\/span>,\n \"cuentas_distintas\"<\/span>,\n \"hora_utc\"<\/span>,\n \"pais_nuevo\"<\/span>,\n \"mfa_fallida\"<\/span>\n]\n\n# Cargar los datos<\/span>\nhistorial = pd.read_csv(\"accesos_normales.csv\"<\/span>)\nrecientes = pd.read_csv(\"accesos_recientes.csv\"<\/span>)\n\n# Validar las columnas requeridas<\/span>\nfor<\/span> nombre, datos in [\n (\"historial\"<\/span>, historial),\n (\"recientes\"<\/span>, recientes)\n]:\n faltantes = set(FEATURES) - set(datos.columns)\n\n if<\/span> faltantes:\n raise ValueError(\n f\"Faltan columnas en {nombre}: {faltantes}\"<\/span>\n )\n\n if<\/span> datos[FEATURES].isna().any().any():\n raise ValueError(\n f\"Hay valores vac\u00edos en {nombre}\"<\/span>\n )\n\n# Crear el modelo de detecci\u00f3n<\/span>\nmodelo = IsolationForest(\n n_estimators=200<\/span>,\n contamination=0.02<\/span>,\n random_state=42<\/span>\n)\n\n# Entrenar con actividad hist\u00f3rica revisada<\/span>\nmodelo.fit(historial[FEATURES])\n\n# Analizar los registros recientes<\/span>\npredicciones = modelo.predict(recientes[FEATURES])\n\n# -1 representa una posible anomal\u00eda<\/span>\n# 1 representa un comportamiento no identificado como an\u00f3malo<\/span>\nrecientes[\"alerta_ia\"<\/span>] = predicciones == -1<\/span>\n\n# Obtener una puntuaci\u00f3n de anomal\u00eda<\/span>\nrecientes[\"score_anomalia\"<\/span>] = (\n modelo.decision_function(recientes[FEATURES])\n)\n\n# Mostrar los eventos que requieren revisi\u00f3n<\/span>\nalertas = recientes[\n recientes[\"alerta_ia\"<\/span>]\n].sort_values(\"score_anomalia\"<\/span>)\n\nprint<\/span>(\"RESULTADO DEL AN\u00c1LISIS\"<\/span>)\n\nif<\/span> alertas.empty<\/span>:\n print<\/span>(\"No se detectaron anomal\u00edas con este modelo.\"<\/span>)\nelse<\/span>:\n print<\/span>(\"Eventos que requieren revisi\u00f3n:\"<\/span>)\n\n print<\/span>(\n alertas[\n FEATURES + [\"score_anomalia\"<\/span>]\n ].to_string(index=False<\/span>)\n )<\/code><\/span>Code language:<\/span> PHP<\/span> (<\/span>php<\/span>)<\/span><\/small><\/pre>\n\n\nPaso 4. \u00bfQu\u00e9 est\u00e1 haciendo realmente el modelo?<\/em><\/strong><\/h4>\n\n\n\n
\n
1<\/code>: el registro no ha sido identificado como anomal\u00eda.<\/li>\n\n\n\n-1<\/code>: el registro ha sido identificado como posible anomal\u00eda.<\/li>\n<\/ul>\n\n\n\nscore_anomalia<\/code>, una puntuaci\u00f3n que permite ordenar los eventos seg\u00fan su grado de aislamiento. Los valores m\u00e1s bajos indican observaciones m\u00e1s at\u00edpicas.<\/p>\n\n\n\ncontamination=0.02<\/code> establece una proporci\u00f3n esperada de anomal\u00edas para determinar el umbral de clasificaci\u00f3n. No significa que el 2 % de los registros sean ataques confirmados.<\/p>\n\n\n\n\n
<\/a><\/figure>\n<\/div>\n\n\n\u00bfD\u00f3nde podemos incorporar IA generativa?<\/strong><\/h2>\n\n\n\n
Prompt para analizar alertas de seguridad:<\/strong><\/h3>\n\n\n\n
\n
\n
\n
La mejor defensa combina tecnolog\u00eda, procesos y criterio humano<\/strong><\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.codemotion.com\/magazine\/wp-content\/uploads\/2026\/10\/19o90W1re6UDvx1oSP5Jz0w.jpeg\")
<\/a><\/figure>\n<\/div>\n\n\n