Las investigaciones recientes de Forescout aportan una visión importante sobre si la inteligencia artificial (IA) podría ayudar a automatizar la detección y explotación de vulnerabilidades zero-day en Tecnología Operativa (OT), específicamente en Controladores Lógicos Programables (PLC). El resultado es contundente: es posible, pero aún no resulta práctico para actores maliciosos. Este análisis busca desglosar qué significa para la seguridad industrial y por qué la barrera de entrada, en términos de coste y conocimiento, sigue siendo un factor disuasorio significativo.

En su experimento, los investigadores evaluaron la capacidad de portar una vulnerabilidad de ejecución remota de código (RCE) de un PLC a otro. Aunque estos dispositivos operan sobre software de código cerrado y presentan desafíos intrínsecos de manipulación, la prueba logró avances notables: se activó un estado de Denegación de Servicio (DoS) que provocó el fallo de la máquina y se logró una RCE funcional capaz de ejecutar shellcode para ARM proporcionado por el atacante.

Sí, pero…

Este resultado es motivo de preocupación, pero viene acompañado de un importante “pero”: la investigación requirió una inversión sustancial de recursos humanos y económico. En concreto, el desarrollo final de la RCE consumió más de 500 dólares en uso de APIs. Un intento de extender el exploit más allá de la RCE inicial terminó dañando el PLC.

Estas limitaciones ofrecen lecciones valiosas sobre la explotación asistida por IA en OT: es posible, pero no tan simple como podría parecer. En la actualidad, la dificultad, el coste y la necesidad de experiencia especializada elevan la barrera de entrada, haciendo que este tipo de ataque resulte menos atractivo frente a alternativas más simples o más probables.

En otras palabras, los cibercriminales siguen frente a opciones más fáciles y, mientras ese contexto permanezca, OT conserva un nivel razonable de seguridad. Sin embargo, el informe no aborda por completo la amenaza de actores estatales con recursos significativos. Para estas entidades, los dispositivos industriales son un objetivo primario, y un desembolso de 500 dólares en uso de APIs es apenas una fracción del presupuesto operativo.

Ya hemos visto indicios de esa posible realidad en 2025, cuando actores vinculados a Sandworm llevaron a cabo operaciones que afectaron a proveedores de energía en Polonia. Este contexto subraya la necesidad de seguir fortaleciendo las defensas en OT, con especial atención a la vigilancia, la segmentación de redes y la gestión de vulnerabilidades, ya que la amenaza de actores con amplios recursos persiste incluso cuando las barreras técnicas siguen siendo altas para los atacantes promedio.