El Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido ha publicado una guía orientada a que los profesionales de la ciberseguridad puedan incorporar la inteligencia artificial (IA) autónoma, también llamada agentic AI, con el fin de automatizar tareas de seguridad y gestionar riesgos eficazmente.
Dave Chismon, director de arquitectura tecnológica del NCSC, puntualiza que el principal reto para defenderse con IA no reside en superar barreras técnicas, sino en cómo las organizaciones deben manejar las dinámicas políticas internas. Según explica, «los defensores no pueden simplemente activar la IA como lo hacen los atacantes, ya que esto plantea riesgos y limitaciones que deben ser gestionados con cautela».
Esta «verdad incómoda» implica que la amenaza de ataques cibernéticos potenciados por IA crecerá, mientras que la defensa autónoma podría no avanzar al mismo ritmo a menos que se adopten enfoques novedosos y adaptados a estas restricciones. 
En lugar de intentar replicar las tácticas ofensivas basadas en agentes autónomos —lo que podría generar errores o daños—, los especialistas en ciberseguridad deben pensar en soluciones que consideren explícitamente cuáles son las limitaciones operativas y legales para aplicar la automatización de forma segura y controlada.
El NCSC señala que la automatización también puede emplear técnicas ofensivas desde un punto de vista defensivo, como pruebas de penetración y la investigación o detección de vulnerabilidades. Estas acciones se implementan normalmente en entornos controlados, probando aplicaciones antes de su lanzamiento y asignando las vulnerabilidades detectadas a los equipos de desarrollo para su corrección, minimizando así el impacto en el negocio.
Asimismo, los enfoques técnicos y dinámicos para la ciberdefensa exigen una evaluación profunda desde la perspectiva empresarial. Por ejemplo, la creación de un Centro de Operaciones de Seguridad (SOC) puede ser un proceso largo y costoso. Además, se deben definir políticas legales claras y exportar datos de los sistemas en producción a plataformas de supervisión para detectar y gestionar actividades maliciosas antes de responder a ellas, lo cual implica una significativa carga de trabajo previa para asegurar que los controles no afecten negativamente a la organización.
Un marco para la adopción responsable de IA autónoma
Para abordar estos retos, el NCSC ha propuesto un marco para estimar el nivel de riesgo asociado a cada acción defensiva automatizada, con el objetivo de identificar aquellas tareas que puedan realizarse con un riesgo mínimo, preferiblemente orientadas a asistir y aconsejar a los operadores humanos en lugar de intervenir directamente en los sistemas.
Este esfuerzo se enmarca en iniciativas más amplias como el previsto ‘Cyber Shield’, un ecosistema nacional de defensa cibernética impulsado por IA, cuyo libro de problemas para la IA en defensa cibernética verá la luz próximamente.
No obstante, Chismon enfatiza la necesidad de continuar investigando en el campo de la IA autónoma, especialmente en lo que respecta a la capacidad de demostrar con certeza que ciertas acciones catalogadas como ‘bajo riesgo’ realmente lo son. Por ejemplo, se plantea si la IA puede analizar registros de tráfico y confirmar que la organización conoce todos los puntos de conexión de sus clientes, o si es capaz de hacer ingeniería inversa de sistemas para determinar con precisión qué llamadas de red pueden ejecutarse.
«Responder a estas preguntas proporcionará la confianza necesaria para que las organizaciones acepten acciones defensivas automatizadas», indica Chismon. «Esto también abre la puerta a automatizar el endurecimiento de sistemas y la reducción de superficies de ataque, aspectos cruciales para enfrentar ataques potenciados por IA».
Finalmente, advierte que todos estos avances requieren tiempo, dedicación e inversiones en investigación. Por ello, las empresas no pueden permitirse esperar pasivamente a que la defensa autónoma esté plenamente desarrollada, sino que deben continuar fortaleciendo su seguridad con métodos tradicionales.
