Nuevo Malware Utiliza GPT-4 para Generar Ataques al Vuelo

Investigadores de seguridad han encontrado pruebas preliminares de malware que utiliza grandes modelos de lenguaje (LLMs) para generar acciones maliciosas en tiempo real.

Los hallazgos se presentaron en LABScon 2025 en una charla titulada “Malware habilitado por LLM en estado salvaje.”

Según SentinelLABS, “El malware habilitado para LLM plantea nuevos desafíos para la detección y la caza de amenazas, ya que la lógica maliciosa puede generarse en tiempo de ejecución en lugar de estar incrustada en el código”.

Estas amenazas operan a través de métodos basados en la ejecución, lo que las hace imposibles de detectar para los sistemas antivirus estándar porque el código dañino no existe hasta el momento de la ejecución.

El equipo identificó lo que creen que podría ser el primer caso de este tipo de malware, al que han bautizado como ‘MalTerminal’. El sistema, basado en Python, utiliza la API GPT-4 de OpenAI para generar ataques de ransomware y ataques de shell inverso.

Los investigadores documentaron herramientas ofensivas adicionales, que incluían inyectores de vulnerabilidades y ayudas para el phishing, para demostrar cómo los atacantes experimentan con LLMs.

“A primera vista, el malware que descarga su funcionalidad maliciosa en un LLM capaz de generar código en tiempo real parece una pesadilla para los ingenieros de detección”, escribieron las investigadoras.

Otros casos incluyen ‘PromptLock’, que apareció por primera vez como un ransomware basado en IA en 2023, y PROMPTSTEAL, un malware vinculado al grupo ruso APT28. Las investigadoras explican que PROMPTSTEAL incorporó 284 claves de API de HuggingFace y utilizó LLMs para producir comandos de sistema para el robo de archivos.

Los investigadores descubrieron que, a pesar de su sofisticación, el malware habilitado para LLM debe incluir “claves de API y mensajes incrustados”, dejando rastros que los defensores pueden seguir. Escribieron: “Esto hace que el malware habilitado para LLM sea algo así como una curiosidad: una herramienta que es única en su capacidad, adaptable y, sin embargo, también frágil”.

Por ahora, el uso de malware habilitado para LLM parece ser raro y en su mayoría experimental. Pero los expertos advierten que a medida que los adversarios perfeccionen sus métodos, estas herramientas podrían convertirse en una seria amenaza para la ciberseguridad.