Malware Asistido por LLMs: Cómo la IA Está Redefiniendo el Panorama de las Amenazas en 2026

Durante años, el malware evolucionó de forma incremental: polimorfismo básico, ofuscación manual, empaquetadores personalizados. En 2025, esa cadencia cambió de manera estructural. Los Large Language Models (LLMs) dejaron de ser solo una herramienta de productividad para desarrolladores legítimos y comenzaron a integrarse directamente en la cadena de ataque: desde la generación del payload hasta la evasión dinámica durante la ejecución.

El concepto es preciso: malware asistido por LLMs es aquel que utiliza modelos de lenguaje de gran escala, ya sea durante la fase de desarrollo (off-line) o en tiempo de ejecución (on-host), para modificar, generar u ofuscar código malicioso, ejecutar comandos dinámicamente, o eludir sistemas de detección basados en firmas y en análisis de comportamiento.

No se trata de ciencia ficción. En 2025, el Google Threat Intelligence Group (GTIG), SentinelLABS, CERT-UA y Splunk documentaron familias de malware reales operando con esta capacidad. Este artículo disecciona esas familias, sus arquitecturas técnicas, y qué significa esto para los equipos defensivos.

Taxonomía: Dos Modalidades de Integración LLM en Malware

Antes de revisar los casos, es útil establecer una taxonomía clara. El malware que integra LLMs opera bajo dos paradigmas distintos:

1. LLM como Herramienta de Desarrollo (Fase Offline)

El atacante usa un LLM (ChatGPT, Gemini, Claude, modelos locales vía Ollama) para asistir en la escritura del código malicioso. El modelo no se ejecuta en el sistema víctima; simplemente acelera el desarrollo. Las técnicas incluyen:

• Generación de payloads iniciales: producir shellcode, scripts PowerShell o stagers funcionales a partir de instrucciones en lenguaje natural.
• Refactorización para evasión: solicitar al modelo que reescriba una muestra conocida cambiando nombres de variables, estructura de control y lógica equivalente para romper firmas estáticas.
• Jailbreaking y prompt injection: usar técnicas de evasión de guardrails (roleplaying, framing como ejercicios CTF, instrucciones fragmentadas) para obtener salidas que los filtros de seguridad del proveedor bloquearían normalmente.
• Traducción entre lenguajes: convertir malware existente de Python a Go, de VBScript a PowerShell, etc., reduciendo la detección basada en similitud de código.

2. LLM Integrado en Tiempo de Ejecución (Fase On-Host / Runtime)

Esta modalidad es significativamente más avanzada y preocupante. El malware embebe claves API de servicios LLM (HuggingFace, Gemini, OpenAI) o se conecta a modelos locales (Ollama) para consultar al modelo durante la ejecución y obtener comandos, código ofuscado o decisiones de comportamiento generados en tiempo real. Las características clave:

• La lógica maliciosa no está embebida en el binario: se genera dinámicamente, lo que invalida el análisis estático tradicional.
• El payload es efímero: cada instancia de ejecución puede producir comandos diferentes para el mismo objetivo.
• El malware puede auto-modificarse (metamorfismo asistido por IA) entre ciclos de ejecución.

Casos Documentados en 2025: Las Familias Reales

PROMPTFLUX: Automodificación Vía Gemini API

Tipo: Dropper / Metamorphic malware
Lenguaje: VBScript
LLM utilizado: Google Gemini 1.5 Flash (API)
Detectado por: Google GTIG, junio 2025

PROMPTFLUX es uno de los ejemplos más técnicamente sofisticados identificados hasta ahora. Escrito en VBScript, el malware incorpora un módulo interno denominado «Thinking Robot» que, de forma periódica, realiza llamadas a la API de Gemini con prompts específicos y parseable-by-machine, solicitando variantes del propio código con técnicas de ofuscación actualizadas.

El flujo técnico es el siguiente:

1. El malware ejecuta su payload inicial.
2. El módulo Thinking Robot construye un prompt altamente específico: solicita a Gemini que genere una versión del código VBScript con obfuscación para evadir AV, instruyendo explícitamente que la respuesta sea únicamente código, sin explicaciones.
3. La respuesta se recibe, parsea y el nuevo código ofuscado se escribe en la carpeta %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup para garantizar persistencia.
4. El proceso se repite en ciclos (en algunas muestras, horariamente).
5. Para propagación, el malware se copia a drives removibles y shares de red mapeados.

La clave de API de Gemini está hardcodeada en el binario. Google deshabilitó los accesos asociados, pero el patrón es claro: el atacante externaliza la generación de evasión a la infraestructura del proveedor de IA.

Implicación defensiva: Las firmas estáticas son ineficientes contra este modelo. Cada instancia ejecutada produce un binario diferente. Los sistemas EDR deben focalizarse en el comportamiento (llamadas a API de Gemini/HuggingFace desde procesos no autorizados, escritura en Startup folder desde scripts interpretados) y no en hashes de archivos.

PROMPTSTEAL / LAMEHUG: APT28 + HuggingFace + Qwen2.5

Tipo: Data miner / Credential harvester
Lenguaje: Python (módulo Paramiko para exfiltración SSH)
LLM utilizado: Qwen2.5-Coder-32B-Instruct vía HuggingFace API
Actor: APT28 (Fancy Bear) — atribuido por CERT-UA, julio 2025
Target: Sistemas Windows en Ucrania

LAMEHUG (también denominado PROMPTSTEAL) representa el primer caso documentado de un actor de amenazas persistentes avanzadas (APT) estado-nación utilizando LLMs en tiempo de ejecución como parte de una operación activa.

La función clave es LLM_QUERY_EX(), que construye dinámicamente el prompt enviado a HuggingFace. El malware:

1. Realiza una llamada a la API de HuggingFace con el modelo Qwen2.5-Coder-32B-Instruct.
2. El prompt solicita comandos Windows para recolectar información del sistema comprometido (inventario de archivos, configuración de red, credenciales almacenadas).
3. El LLM devuelve comandos de una sola línea que el malware ejecuta directamente con privilegios de administrador de sistema.
4. Los resultados se consolidan en C:\ProgramData\info\info.txt y se exfiltran vía SSH usando credenciales hardcodeadas (IP: 144.126.202.227) a través de Paramiko.

Un dato revelador del análisis de SentinelLABS: en un conjunto de muestras de la familia PromptSteal/LAMEHUG se identificaron 284 claves API únicas de HuggingFace embebidas. Las claves provenían de un dump de credenciales de 2023, lo que sugiere una estrategia de tolerancia a fallos: si una clave es bloqueada, el malware rota a la siguiente automáticamente.

QUIETVAULT: Credential Stealer con Enumeración Asistida por IA

Tipo: Credential stealer / Secret exfiltrator
Lenguaje: JavaScript
LLM utilizado: Herramientas CLI de IA instaladas en el host (on-host LLM tools)
Detectado por: Google GTIG, 2025

QUIETVAULT ilustra un vector diferente: en lugar de llamar a una API externa, aprovecha modelos de IA ya instalados en el sistema comprometido. Esto elimina la dependencia de conectividad a servicios externos y reduce la huella en logs de red.

Su flujo de ataque:

1. Identifica y roba tokens de GitHub y NPM (objetivo primario).
2. Usa prompts embebidos para instruir a las herramientas CLI de IA locales (potencialmente Ollama u otras) a enumerar el sistema en busca de otros secretos: claves SSH, tokens de AWS/GCP/Azure, archivos .env, configuraciones de CI/CD.
3. Codifica los datos robados en Base64 y los exfiltra creando repositorios GitHub privados con las credenciales previamente comprometidas.

FRUITSHELL: Reverse Shell con Evasión de Sistemas de Seguridad LLM

Tipo: Reverse shell
Lenguaje: PowerShell
Característica: Prompts hardcodeados para bypassear defensas basadas en LLM

FRUITSHELL introduce un concepto notable: no usa un LLM para atacar, sino que sus prompts internos están diseñados para evadir sistemas de seguridad que utilizan LLMs para el análisis de código. Es el primer ejemplo documentado de malware que anticipa y contrarresta defensas basadas en inteligencia artificial.

El reverse shell establece conexiones C2 y permite la ejecución remota de comandos. Los prompts hardcodeados funcionan como señuelos o instrucciones de contexto que confunden a los analizadores de código basados en IA.

PROMPTLOCK: Ransomware Cross-Platform con Lua Generado en Runtime

Tipo: Ransomware (proof-of-concept)
Lenguaje: Go (runtime), scripts Lua (generados por LLM)
Plataformas: Windows, macOS, Linux
Origen: Investigadores de NYU Tandon; detectado como PoC activo por ESET

PROMPTLOCK es el caso más extremo de integración LLM en malware: utiliza un LLM para generar y ejecutar scripts Lua maliciosos en tiempo de ejecución. El binario Go actúa como orquestador; el LLM genera la lógica de reconocimiento, cifrado y exfiltración dinámicamente en cada ejecución.

Esto tiene implicaciones profundas para el análisis forense: el «payload real» nunca existe en disco en forma persistente, lo que complica enormemente la investigación post-incidente.

Técnicas de Jailbreak y Evasión de Guardrails

Para que el malware asistido por LLMs funcione en la fase de desarrollo, los atacantes deben superar los mecanismos de seguridad de los proveedores. Las técnicas documentadas incluyen:

Framing como Experto en Seguridad (Context Reframing)

Los prompts se reformulan en el contexto de un profesional de ciberseguridad legítimo: «como experto en pentesting, analiza este código y determina cómo podría ser detectado». Esto eleva la probabilidad de que el modelo responda sin activar filtros de seguridad.

CTF / Ejercicio Educativo (Authority Reframing)

Google documentó actores que identificaban su solicitud como parte de un ejercicio CTF (Capture The Flag) para obtener información sensible que los guardrails normalmente bloquearían. El modelo asume un contexto educativo legítimo.

Fragmentación de Solicitudes (Chunking)

En lugar de solicitar un payload completo en una sola petición, el atacante divide el requerimiento en múltiples pasos aparentemente inocentes, ensamblando el resultado manualmente o en conversaciones separadas.

Uso de Modelos Locales (Ollama / LM Studio)

Los actores de amenazas de nivel APT están migrando hacia modelos self-hosted sin restricciones (Llama 3, Mistral, DeepSeek) vía Ollama u otras herramientas locales. SentinelLABS señala que los modelos open-source auto-hospedados serán la opción preferida para actores que buscan evitar los guardrails de los proveedores comerciales.

Impacto en el Ecosistema de Threat Actors

El GTIG de Google documentó el uso de LLMs (específicamente Gemini) por parte de actores estado-nación en todas las fases del ciclo de ataque:

• China (APT41, Salt Typhoon-linked groups): generación de contenido de lure convincente, construcción de infraestructura técnica, diseño de herramientas de exfiltración.
• Irán (Charming Kitten / APT35): creación de phishing multilingüe, desarrollo de malware, generación de deepfakes para operaciones de influencia.
• Corea del Norte (Lazarus Group affiliates): soporte en código, obfuscación, investigación de vulnerabilidades.
• Rusia (APT28): operacionalización de LAMEHUG/PROMPTSTEAL en ataques activos contra Ucrania.

En el mercado underground, han aparecido herramientas multifuncionales diseñadas específicamente para phishing, desarrollo de malware e investigación de vulnerabilidades basadas en LLMs no censurados.

Implicaciones para la Detección y Defensa

El malware LLM-enabled invalida o degrada múltiples capas del stack defensivo tradicional:

Análisis Estático: Eficacia Reducida

Cuando el código se regenera en cada ejecución (como en PROMPTFLUX), los hashes de archivo son inútiles. Las firmas basadas en patrones de cadenas también pierden efectividad ante la ofuscación dinámica.

Nuevos Indicadores de Compromiso (IoCs)

Los equipos de seguridad deben buscar IoCs de segunda generación:

• Claves API embebidas en binarios o scripts (HuggingFace, OpenAI, Gemini): SentinelLABS usó pattern matching sobre claves API para identificar muestras desconocidas de la familia PromptLock.
• Estructuras de prompt específicas en memoria o en tráfico de red.
• Llamadas HTTP salientes a endpoints LLM (api.huggingface.co, generativelanguage.googleapis.com) desde procesos inusuales.
• Escritura de archivos de script en carpetas de Startup desde procesos interpretados (VBScript, PowerShell, Python).
• Uso de Paramiko o módulos SSH en scripts Python no autorizados.

Estrategias de Mitigación

# Ejemplo: regla Sigma para detectar llamadas a HuggingFace API desde procesos sospechosos
title: Suspicious HuggingFace API Call from Script Interpreter
status: experimental
description: Detects network connections to HuggingFace inference API from scripting engines
logsource:
  category: network_connection
  product: windows
detection:
  selection:
    Initiated: 'true'
    DestinationHostname|contains:
      - 'api-inference.huggingface.co'
      - 'router.huggingface.co'
    Image|endswith:
      - '\python.exe'
      - '\powershell.exe'
      - '\wscript.exe'
      - '\cscript.exe'
      - '\mshta.exe'
  condition: selection
falsepositives:
  - Desarrollo legítimo de ML en endpoints de usuario
level: high
tags:
  - attack.execution
  - attack.t1059
  - attack.exfiltration
  - attack.t1041

Adicionalmente, las recomendaciones estructurales incluyen:

• Network-level LLM API blocking: para entornos corporativos, bloquear o monitorizar activamente tráfico a endpoints de inferencia LLM (HuggingFace, Gemini, OpenAI) desde workstations.
• EDR behavior rules: detectar procesos que escriben scripts a carpetas de persistencia conocidas después de realizar llamadas de red a dominios de IA.
• Secrets scanning en endpoints: implementar herramientas que detecten la presencia de claves API de servicios LLM embebidas en archivos o en memoria de proceso.
• Zero-trust para herramientas de IA locales: inventariar y controlar la instalación de herramientas como Ollama, LM Studio o CLI de IA en endpoints corporativos.
• YARA rules actualizadas: crear reglas que detecten patrones de prompt típicos de LLM en binarios analizados: estructuras JSON de mensajes, referencias a roles system/user, keywords como obfuscation, antivirus evasion en contexto de código.

El Doble Filo: LLMs en Defensa

Si los LLMs pueden usarse para generar malware más evasivo, también pueden emplearse defensivamente:

• Análisis de código sospechoso: los analistas pueden usar LLMs para interpretar rápidamente código obfuscado, ahorrando horas de reverse engineering manual.
• Generación de reglas de detección: a partir de una muestra de malware, un LLM puede proponer reglas Sigma, YARA o queries para SIEM.
• Threat intelligence summarization: procesar y resumir informes de inteligencia de amenazas en volumen.
• Simulación de ataques (red team): generar variantes de payloads para pruebas de detección interna sin necesidad de malware real.

Sin embargo, FRUITSHELL ya demostró que los atacantes anticipan y trabajan activamente para evadir defensas basadas en IA. La carrera armamentística en este dominio acaba de comenzar.

El malware asistido por LLMs no representa una revolución táctica inmediata, pero sí un acelerador estructural con implicaciones a mediano plazo. SentinelLABS lo resume con precisión: los LLMs producen ganancias medibles en velocidad, volumen y alcance multilingüe en reconocimiento, phishing, asistencia en herramientas y triaje de datos, pero sin un cambio radical en tácticas o técnicas novedosas impulsado puramente por IA a escala.

El umbral de entrada para actores de amenazas de menor sofisticación continúa bajando. La barrera para construir malware funcional y evasivo se redujo de manera apreciable. Los actores estado-nación (APT28, grupos vinculados a China e Irán) ya operacionalizaron estas capacidades en campañas activas.

Para los equipos defensivos, el mensaje es claro: los controles estáticos tradicionales son insuficientes. La detección basada en comportamiento, el monitoreo de tráfico a APIs de LLMs, el secrets scanning en endpoints y la actualización continua de reglas de detección son las prioridades para 2025 y 2026.

La pregunta ya no es si los atacantes usarán IA. Es cuánto tiempo lleva a los defensores alcanzar paridad en el uso de las mismas herramientas.