En el CyberShield Forum de ANDICOM 2026, celebrado en Cartagena, Derek Manky, de FortiGuard Labs, presentó un dato alarmante: el tiempo promedio entre el descubrimiento de una vulnerabilidad cibernética y su explotación se redujo de 4,75 días en 2025 a apenas 20 horas en 2026. Esta drástica disminución vuelve obsoletos los esquemas tradicionales de gestión de parches en los entornos corporativos. Cuando los procesos de aprobación de cambios en una organización tardan días o incluso semanas, los atacantes ya han logrado comprometer la red antes de que las defensas entren en funcionamiento. Según Manky, la nueva frontera de la ciberseguridad en 2026 está marcada por la consolidación de agentes de cibercrimen autónomos, desarrollados con una lógica industrial, lo que señala el inicio de una tercera generación de malware.
A diferencia de los ataques tradicionales, basados en escaneos y secuencias predefinidas, el cibercrimen de tercera generación opera con agentes capaces de observar el entorno, formular hipótesis y reconfigurar su estrategia de forma autónoma ante cada fallo. Así, el error deja de ser una barrera y se convierte en un mecanismo de aprendizaje continuo que acelera y perfecciona la intrusión. En esta tercera ola, cuya influencia se proyecta hasta 2030, las categorías clásicas de atacantes han perdido nitidez. Las vulnerabilidades ya no están asociadas a un único perfil de amenaza: el 20,47% de los fallos es explotado de manera simultánea por redes de ransomware y grupos de espionaje avanzado (APT), que incluso comparten infraestructuras de acceso. La aparición de coaliciones híbridas de cibercrimen, como la convergencia de Scattered Spider, ShinyHunters y LAPSUS$ a mediados de 2025, ilustra esta nueva lógica operativa, en la que cada célula asume una fase específica de la cadena de extorsión.
Cifras críticas del reporte de FortiGuard Labs
El despliegue acelerado de asistentes autónomos ha abierto una superficie de riesgo sin precedentes, evidenciada por la CVE-2026-25253 de OpenClaw, un asistente de código abierto que opera directamente en la máquina del usuario para leer correos, navegar por la web y ejecutar comandos. Presentada en ANDICOM por Derek Manky como un caso emblemático de “secuestro de agentes” (agent hijacking), esta vulnerabilidad crítica, registrada en enero de 2026, permite tomar control total del agente con solo inducir al usuario a visitar un sitio web comprometido.
Aunque fue corregida en la versión 2026.1.29, aún persisten miles de instancias expuestas y numerosas fallas internas, mientras el ataque aprovecha instrucciones ocultas en páginas web para abusar de las herramientas del agente, robar credenciales de API y cometer fraude en sistemas de facturación. A esto se suma el riesgo del mercado de “habilidades” o extensiones públicas, donde en el primer trimestre de 2026 se reportaron más de mil complementos maliciosos capaces de evadir controles de seguridad al presentarse como herramientas de productividad legítimas.
Para Sectorial, la coincidencia entre una ventana de ataque de 20 horas y un sistema financiero local que enfrenta, en promedio, 42 ciberataques por segundo, según estadísticas sectoriales de Asobancaria, configura un escenario operativo crítico. Aunque la nueva Estrategia Nacional de Ciberseguridad del Ministerio TIC incorpora lineamientos de arquitectura Zero Trust, la consolidación normativa del Estado tomará meses, mientras la automatización delictiva impone la necesidad de respuestas inmediatas.
En este contexto, la principal vulnerabilidad no reside en la sofisticación de la inteligencia artificial, sino en las debilidades de gobernanza de TI dentro de las organizaciones. En muchos casos, los agentes se despliegan en estaciones de trabajo sin inventarios actualizados, sin mecanismos de aislamiento para la ejecución de herramientas y con llaves de acceso de alcance excesivo, lo que facilita el movimiento lateral de amenazas. Por ello, la implementación de listas blancas de extensiones, junto con la minimización de privilegios y accesos, debe asumirse como una prioridad inmediata de gobernanza para fortalecer la resiliencia y blindar el tejido corporativo. Para los sectores de software, datacenters y BPO, que están incorporando agentes en sus operaciones y en las de sus clientes, la decisión de gobernanza no puede esperar a la política pública.
También le puede interesar:
El Gobierno medirá el nuevo Plan TIC por ingresos y empleo, no por antenas instaladas
Colombia registró 27.000 millones de ciberataques a bancos en siete meses
