La ciberdelincuencia ha incorporado inteligencia artificial (IA) y automatización para ejecutar operaciones a velocidad de máquina, mientras que buena parte del aparato público mexicano sigue atado a procesos fragmentados, autorizaciones jerárquicas y protocolos lentos. Esa diferencia de velocidad se ha convertido en una vulnerabilidad estratégica.
Un atacante puede automatizar el reconocimiento de infraestructura, identificar vulnerabilidades, diseñar campañas de phishing personalizadas y modificar herramientas maliciosas en periodos cada vez más cortos. En contraste, una institución pública puede necesitar horas, días o semanas para determinar responsabilidades y coordinar a sus áreas técnicas, jurídicas y administrativas.
- Asimetría operativa: la IA permite a los ciberdelincuentes perfilar objetivos, producir mensajes convincentes y lanzar campañas a gran escala.
- Caso Chronus: a principios de 2026 habría implicado la extracción de 2.3 terabytes y una posible afectación de 36.5 millones de registros, de confirmarse los reportes.
- Rezago institucional: la legislación sigue pendiente, los recortes afectan sistemas y falta una capacidad federal de coordinación.
La asimetría de la IA ofensiva
El principal riesgo de la IA aplicada a operaciones ofensivas no reside solo en su sofisticación, sino en su capacidad para multiplicar los ataques. Los modelos de lenguaje y los sistemas automatizados de reconocimiento permiten analizar grandes volúmenes de información, perfilar objetivos y producir mensajes convincentes en cuestión de segundos.
Esa transformación modifica la economía del ciberdelito: actividades que antes requerían numerosos operadores y muchas horas de trabajo pueden automatizarse parcialmente, lo que permite modificar tácticas con rapidez y explotar vulnerabilidades antes de que las organizaciones terminen de evaluar los riesgos.
El incidente atribuido al grupo cibercriminal Chronus a principios de 2026 ilustra, según reportes difundidos, la dimensión de esta asimetría. Los atacantes habrían usado herramientas automatizadas y capacidades apoyadas en inteligencia artificial para inspeccionar infraestructura vinculada con instituciones mexicanas, identificar subdominios vulnerables y explotar puntos débiles sin depender exclusivamente de procedimientos manuales. De confirmarse las cifras, la presunta extracción de 2.3 terabytes de información pondría de relieve que las capacidades ofensivas evolucionan más rápido que los mecanismos institucionales.
La burocracia como vulnerabilidad
Frente a adversarios automatizados, muchas organizaciones aún dependen de estructuras de respuesta fragmentadas. Un equipo técnico puede detectar una anomalía sin facultades para desconectar de inmediato un sistema crítico. El área jurídica puede pedir una evaluación regulatoria, la operativa puede resistirse a suspender servicios esenciales y la dirección general puede necesitar conocer el impacto financiero antes de autorizar medidas.
Cada precaución puede ser razonable por separado, pero cuando todas deben cumplirse de manera consecutiva mientras el atacante avanza en la red, la burocracia también consume tiempo. Cada minuto que pierde el defensor amplía la oportunidad del intruso. La pregunta fundamental ya no es cuántas alertas puede detectar una organización, sino cuánto tiempo necesita para convertir una alerta crítica en una acción efectiva.
Legislación, presupuesto y coordinación
México ha debatido durante años distintas iniciativas en materia de ciberseguridad, pero sigue sin consolidar un marco integral que defina responsabilidades, identifique infraestructura crítica, establezca mecanismos de coordinación y determine obligaciones de reporte y estándares mínimos para los sectores público y privado.
La falta de consensos no debe resolverse aprobando cualquier legislación bajo presión. Diversas propuestas han generado cuestionamientos de especialistas y organizaciones civiles por los riesgos de militarizar la ciberseguridad, ampliar facultades de vigilancia o afectar derechos fundamentales. México necesita legislación técnicamente sólida, proporcional y respetuosa de las garantías constitucionales.
También existe una contradicción entre el discurso de transformación digital y la realidad presupuestaria. Los recortes que afectan la actualización de sistemas, el licenciamiento, la capacitación y la contratación de especialistas pueden convertir el ahorro inmediato en un costo mayor. Un servidor sin actualizar no es eficiencia si se vuelve puerta de entrada de una intrusión de alto impacto.
La coordinación es otro gran desafío: una amenaza puede afectar simultáneamente a dependencias gubernamentales, instituciones financieras, operadores de telecomunicaciones, hospitales, cadenas logísticas y empresas privadas. México necesita una capacidad federal de operaciones de ciberseguridad con recursos, talento, atribuciones y protocolos claros, capaz de integrar inteligencia de amenazas en tiempo real, facilitar el intercambio seguro de indicadores de compromiso y coordinar la respuesta nacional.
Automatización defensiva con controles
Algunos sectores productivos ya enfrentan entornos donde una respuesta tardía tiene consecuencias económicas inmediatas. Eso impulsa el interés por la IA agéntica, una evolución de los sistemas de inteligencia artificial orientada no solo a detectar problemas y formular recomendaciones, sino también a ejecutar determinadas acciones dentro de límites previamente establecidos. En ciberseguridad puede aislar dispositivos comprometidos, bloquear comunicaciones, revocar credenciales, iniciar recuperación o escalar incidentes según su riesgo.
El objetivo no debe ser sustituir a los especialistas ni entregar decisiones irrestrictas a un algoritmo. La autonomía sin controles también genera riesgos: una clasificación incorrecta puede interrumpir servicios legítimos. El desafío es determinar qué decisiones pueden automatizarse de manera segura, cuáles requieren supervisión humana y qué salvaguardas impiden que una respuesta automática agrave el incidente. Si el adversario automatiza sus operaciones mientras el defensor conserva procesos manuales, la brecha de velocidad seguirá ampliándose.
México está ante una encrucijada digital. El Gobierno de México necesita abandonar la visión de la ciberseguridad como un asunto exclusivamente técnico y reconocer su dimensión estratégica: seguridad nacional, competitividad económica, protección de datos, continuidad de los servicios públicos y soberanía digital. Eso exige inversión sostenida, legislación responsable, profesionalización del servicio público, auditorías independientes, transparencia y una arquitectura nacional capaz de responder a la velocidad de las amenazas. Mientras las instituciones no actúen con la agilidad y coordinación que exige este escenario, seguirán intentando contener amenazas del futuro con estructuras diseñadas para el pasado.