-
La IA cambia la velocidad y la frecuencia con la que puede explorarse una vulnerabilidad.
-
El riesgo también alcanza a los proveedores tecnológicos de las instituciones financieras.
El hackeo a las hardware wallets Coldcard volvió a poner la seguridad en el centro de la conversación sobre bitcoin (BTC). El episodio, sin embargo, dejó una distinción importante: el protocolo Bitcoin no fue vulnerado. El ataque alcanzó una herramienta utilizada por usuarios para custodiar sus fondos.
Ese matiz sirve para ampliar la mirada. La inteligencia artificial (IA) está aumentando la capacidad para detectar y explotar vulnerabilidades, y ese riesgo no pertenece únicamente al ecosistema de las criptomonedas. La banca tradicional también depende de aplicaciones, software, proveedores tecnológicos y sistemas conectados que pueden convertirse en puntos de entrada.
La diferencia está en la escala de las consecuencias. Una vulnerabilidad en un dispositivo puede afectar a sus usuarios. En el sistema financiero, donde numerosos bancos comparten proveedores, servicios en la nube y tecnologías, una misma falla puede alcanzar simultáneamente a varias instituciones y transformarse en un problema de estabilidad financiera. Esa es la tesis que distintos organismos comenzaron a advertir durante los últimos meses.
En mayo, el secretario del Tesoro de Estados Unidos, Scott Bessent, llevó la preocupación directamente a Wall Street. Después de reunirse junto con el presidente de la Reserva Federal (Fed), Jerome Powell, con ejecutivos de grandes bancos estadounidenses para discutir las capacidades de modelos avanzados de inteligencia artificial, fue consultado sobre si los ciudadanos deberían preocuparse por la posibilidad de que estas herramientas fueran utilizadas para hackear cuentas bancarias. Su respuesta fue breve: “Deberían”.
Bessent explicó además que se había producido un salto significativo en las capacidades de los grandes modelos de lenguaje y planteó la necesidad de encontrar un equilibrio entre mantener el liderazgo tecnológico de Estados Unidos y proteger su sistema financiero.
El problema ya no es encontrar una falla, sino hacerlo antes
Un informe publicado en junio por investigadores del Fondo Monetario Internacional (FMI) permite entender por qué la advertencia va más allá de una cuenta bancaria individual.
Según el organismo, el principal cambio introducido por la IA no consiste necesariamente en inventar nuevas modalidades de ataque. Lo que cambia es la velocidad, frecuencia y amplitud con la que pueden descubrirse y potencialmente explotarse las vulnerabilidades.
Ese factor reduce una ventaja que durante años tuvieron los defensores: el tiempo.
El FMI cita datos de CrowdStrike según los cuales la actividad de atacantes asistidos por IA aumentó 89% entre 2024 y 2025, mientras el tiempo promedio que necesitaron para desplazarse dentro de una red una vez conseguido el acceso cayó hasta 29 minutos, una reducción del 65%. En los casos más extremos, ese movimiento se produjo en segundos.
Ahí aparece una de las mayores dificultades para la banca. Sus sistemas pueden estar cerrados al público, pero no están aislados. Bancos, mercados y sistemas de pagos dependen de plataformas en la nube, sistemas operativos, software compartido y proveedores tecnológicos.
En ese sentido, el FMI advierte que esa arquitectura genera una “exposición correlacionada”. Si varias instituciones utilizan un mismo componente vulnerable, la IA puede facilitar que esa debilidad sea identificada y atacada en varias de ellas dentro de un período muy corto.
Es decir, el riesgo deja entonces de ser únicamente que un atacante consiga entrar a un banco. El verdadero problema aparece cuando la misma puerta existe en muchos bancos al mismo tiempo.
El gráfico muestra que las vulnerabilidades se están explotando cada vez más rápido y antes de que exista margen para reaccionar (zero-day). Desde 2018, los puntos se desplazan hacia menos días y una mayor proporción de ataques: en lo que va de 2026, la tasa supera el 70%, mientras el tiempo medio de explotación se acerca a cero.
Wall Street ya está buscando las grietas
Las advertencias no son puramente teóricas. Grandes bancos estadounidenses comenzaron a utilizar herramientas avanzadas de IA para revisar sus propios sistemas.
Reuters informó en mayo que entidades como JPMorgan Chase, Goldman Sachs, Citigroup, Bank of America y Morgan Stanley obtuvieron acceso a Mythos, un modelo de Anthropic especializado en ciberseguridad, tal como explicó CriptoNoticias. Las pruebas comenzaron a revelar cientos o incluso miles de vulnerabilidades de riesgo bajo y moderado que los bancos debieron revisar con mayor rapidez de la habitual.
El problema no era necesariamente encontrar una falla crítica aislada. Mythos mostró capacidad para conectar varias vulnerabilidades menores hasta convertirlas en una vía de ataque más peligrosa, algo que puede requerir mucho más tiempo para un equipo humano.
El propio informe del FMI utiliza el modelo como ejemplo del nuevo escenario. En pruebas, Mythos identificó miles de vulnerabilidades zero-day de alta severidad y completó de forma autónoma una simulación de ataque corporativo de 32 pasos, según la documentación citada por el organismo.
La IA está mostrando así sus dos caras. La misma capacidad que permitiría encontrar una vulnerabilidad antes que un banco puede permitirle al banco encontrarla antes que el atacante. Y ahí empieza la carrera.
La banca también está armando su defensa con IA
El Consejo de Estabilidad Financiera (FSB) llega a una conclusión similar. En su informe sobre adopción responsable de inteligencia artificial en instituciones financieras, el organismo señala que estas tecnologías pueden incrementar “la facilidad, frecuencia e impacto de los ciberataques”, al mismo tiempo que mejoran la capacidad de las instituciones para defenderse.
Por eso, el FSB propone doce buenas prácticas para incorporar IA dentro del sistema financiero, entre ellas incluir escenarios de ataques asistidos por estas herramientas en pruebas de seguridad, reforzar el intercambio de información y utilizar la propia IA para gestionar riesgos cibernéticos.
También aparece otro punto sensible: los proveedores.
Muchas instituciones dependen de las mismas compañías para servicios de inteligencia artificial, infraestructura en la nube o software crítico. El FMI advierte que esa concentración puede generar puntos únicos de falla. Un problema en un proveedor ampliamente utilizado podría propagarse rápidamente entre varias entidades.
El FSB, por su parte, recomienda que los bancos evalúen especialmente la calidad de los datos, la continuidad del negocio, la cadena de suministro y la concentración cuando contratan servicios de IA de terceros.
Bitcoin y la banca tienen puntos débiles distintos
Coldcard permite volver al punto de partida con mayor precisión. El ataque no mostró una debilidad del protocolo Bitcoin.
En la banca ocurre algo comparable, aunque con una arquitectura completamente diferente. Un atacante tampoco necesita vulnerar el corazón de todo el sistema financiero para causar daño. Puede encontrar una falla en un proveedor, una aplicación, una credencial o un componente utilizado por numerosas entidades.
Esta diferencia es que la fuerte interconexión de las finanzas tradicionales puede amplificar las consecuencias. El FMI advierte que la IA está elevando el riesgo cibernético desde un problema operativo hacia una cuestión central para la estabilidad financiera, precisamente por la combinación entre infraestructura compartida, proveedores comunes y capacidad de propagación.
La pregunta, por lo tanto, no es si un sistema cerrado está automáticamente protegido frente a la IA. Tampoco si la IA favorece inevitablemente al atacante.
La carrera está en quién consigue encontrar y corregir primero la próxima vulnerabilidad. Y cuando el dinero de millones de personas depende de sistemas que comparten cada vez más tecnología, llegar unos minutos tarde puede empezar a ser demasiado.
