Living off the land es una técnica que lleva años en el radar de los expertos en ciberseguridad. Pero ahora ha adquirido una nueva dimensión gracias a la inteligencia artificial, que permite acelerar algunas fases del ataque, interpretar con mayor rapidez lo que encuentra en cada sistema y adaptar los siguientes movimientos a medida que avanza. Una evolución que aumenta las posibilidades de sacar partido a las propias herramientas del dispositivo para actuar dentro de él.
El ordenador va más lento de lo normal. Una ventana negra aparece y desaparece en cuestión de segundos. Se ejecutan procesos que no reconoces. El ventilador se activa cuando apenas estás haciendo nada. Recibes una alerta de acceso a una de tus cuentas desde un dispositivo desconocido. Algo no va bien.
“La reacción más lógica es pensar que un virus ha entrado en el ordenador y buscar un archivo, una aplicación o algún programa sospechoso que pueda dar respuesta a lo que está sucediendo”. Explica Hervé Lambert, Global Consumer Operation Manager de Panda Security. Sin embargo, no siempre hay algo nuevo que encontrar. “En determinados ataques, el ciberdelincuente puede aprovechar herramientas que ya estaban instaladas en el equipo”.
Es lo que se conoce como Living off the Land (LotL). PowerShell, la consola de comandos y otras funciones legítimas del sistema pueden utilizarse para ejecutar instrucciones, recopilar información o realizar otras acciones maliciosas. “En lugar de introducir sus propias herramientas, el atacante convierte las de nuestro ordenador en parte del ataque”, resume Lambert.
La técnica no es nueva, pero la inteligencia artificial puede llevarla un paso más allá. La capacidad de analizar información, adaptar instrucciones y encadenar acciones permite imaginar ataques más rápidos y adaptativos y, con el avance de los agentes de IA, también con mayores niveles de autonomía.
5 formas en que la IA puede convertir nuestro ordenador en un arma
Estas son cinco formas en las que la IA puede convertir las herramientas de nuestro propio ordenador en un arma.
1. PowerShell, una herramienta de confianza que también puede cambiar de manos
PowerShell lleva años formando parte de Windows. Automatiza tareas, permite administrar el sistema y ejecutar instrucciones. Millones de ordenadores lo utilizan con total normalidad cada día. Esa misma versatilidad hace que también pueda resultar útil para un atacante que haya conseguido acceder a un equipo y quiera, por ejemplo, localizar determinada información.
“Puede servirse de PowerShell para hacerlo con una herramienta que ya encuentra en el propio ordenador”, explica el directivo de Panda Security. Ahí se resume buena parte de la lógica de Living off the Land. El atacante aprovecha los recursos disponibles en el sistema y la IA puede facilitarle la forma de utilizarlos, generando instrucciones, corrigiéndolas cuando fallan o adaptándolas a las características del equipo que tiene delante.
“Es como encontrarse una caja de herramientas y contar, además, con alguien que conoce cada pieza y puede indicarte cómo utilizarla en cada momento. La caja siempre estuvo ahí. La IA ayuda a manejarla con más soltura”, ilustra Lambert.
PowerShell aparece desde hace años en cadenas de ataque reales. En julio de 2026, una investigación de Microsoft sobre ACR Stealer identificó su uso junto a otras técnicas en campañas dirigidas al robo de información sensible, entre ellas credenciales almacenadas en los navegadores.
“La IA puede reducir el tiempo y los conocimientos necesarios para desenvolverse con este tipo de herramientas y, sobre todo, facilitar que las instrucciones se adapten a lo que el atacante va encontrando”. Señala el experto de Panda Security. Esa capacidad de adaptación es una de las razones por las que una técnica conocida como Living off the Land adquiere una nueva dimensión con el avance de la inteligencia artificial.
2. Reconocimiento, hacerse un mapa del ordenador
Conseguir acceso a un equipo es apenas el principio. El atacante todavía necesita orientarse. Le interesa conocer el sistema operativo, los usuarios, los procesos en marcha, los permisos disponibles o las conexiones con otros equipos.
Muchas de esas respuestas pueden obtenerse mediante comandos y funciones que ya existen en el sistema. La IA añade capacidad para procesar toda esa información y darle sentido con rapidez.
Un listado de procesos, permisos o servicios puede resultar difícil de interpretar para alguien con pocos conocimientos. “Un modelo puede ordenar esos datos, detectar qué resulta relevante y ayudar a entender el escenario que tiene delante”, recuerda Lambert.
Esta capacidad ya aparece en operaciones reales. En septiembre de 2026, Anthropic documentó el uso de IA en tareas de reconocimiento de sistemas y servicios y en el análisis de configuraciones dentro de campañas dirigidas contra múltiples objetivos. La compañía señala precisamente la capacidad de desenvolverse en entornos distintos como una de las áreas en las que estos sistemas están ganando peso.
El atacante puede hacerse así una idea bastante precisa del terreno utilizando información que el propio ordenador le proporciona. Una vez dibujado ese mapa, resulta mucho más sencillo saber hacia dónde dirigirse.
3. Movimiento lateral, saltar de un equipo a otro
Conseguir entrar en un ordenador puede abrir más puertas de las que parece. En una empresa, ese equipo comparte entorno con portátiles, servidores, cuentas y aplicaciones. En casa, varios dispositivos pueden utilizar la misma red, compartir servicios o estar vinculados a las mismas cuentas. Para un atacante, el primer equipo comprometido puede convertirse en un punto desde el que explorar qué más tiene a su alcance.
Ese recorrido tiene un nombre en ciberseguridad, movimiento lateral. Y Living off the Land puede acompañar al atacante durante el camino. Una vez dentro, puede intentar aprovechar herramientas legítimas disponibles en los propios sistemas para seguir avanzando.
La IA facilita el movimiento entre equipos
Microsoft documentó en abril de 2026 un ejemplo muy gráfico durante una investigación sobre operaciones relacionadas con el ransomware Medusa. Los atacantes utilizaron PowerShell y PsExec, junto con herramientas de administración y acceso remoto, durante distintas fases de la intrusión. PsExec resulta especialmente ilustrativo. Es una utilidad creada para que los administradores puedan ejecutar procesos en otros sistemas Windows. Esa capacidad también puede ser aprovechada por alguien que haya conseguido los accesos necesarios.
“La inteligencia artificial añade capacidad de adaptación a ese recorrido”, asegura Lambert. Cada equipo es diferente y cada intento devuelve información nueva. Unas credenciales funcionan aquí y dejan de hacerlo allí. Un servicio está disponible en un dispositivo y desactivado en el siguiente. Una vía que parecía abierta termina en un callejón sin salida. “Un sistema de IA puede procesar esos resultados y ayudar a reajustar los siguientes pasos a medida que cambia el escenario”, cuenta.
Anthropic ya ha observado esta dinámica en operaciones reales. La compañía ha documentado el uso de sistemas de IA para ejecutar comandos, recopilar credenciales y participar en movimientos laterales bajo la dirección de atacantes.
Ahí es donde la comunión entre IA y LOtL adquiere especial interés. Living off the Land pone a disposición del atacante herramientas que ya existen dentro del entorno. La IA puede ayudarle a interpretar qué encuentra en cada nuevo sistema y decidir cómo continuar el recorrido.
4. Evasión, cambiar de estrategia cuando saltan las alarmas.
Una de las ventajas que Living off the Land ofrece a un atacante está precisamente en las herramientas que utiliza. PowerShell, consolas de comandos, utilidades administrativas y servicios del sistema forman parte de la actividad cotidiana de millones de equipos. Su presencia, por sí sola, no revela que haya un ataque en marcha.
Por eso las soluciones de seguridad analizan también el contexto. “Importa qué proceso ha iniciado una herramienta, qué instrucciones está ejecutando, con qué otros procesos se relaciona o qué ocurre inmediatamente después”, dice Lambert. Una herramienta legítima puede levantar sospechas cuando empieza a comportarse de una manera que no encaja con la actividad habitual del sistema.
La IA ayuda a los atacantes a esquivar las defensas
La inteligencia artificial introduce aquí una posibilidad especialmente interesante para los atacantes. Si una determinada acción es detectada, puede ayudar a analizar qué ha fallado, modificar herramientas o procedimientos y probar otra vía. El ataque adquiere así capacidad para reajustarse mientras está ocurriendo.
Anthropic documentó en septiembre de 2026 un caso que permite ver hasta dónde puede llegar esa dinámica. El actor identificado como GTG-20006 utilizaba flujos de trabajo apoyados en IA para comprobar si sus herramientas estaban siendo detectadas por productos de seguridad. Cuando eso ocurría, los agentes podían modificar y reconstruir el malware y volver a desplegarlo. En entornos locales, la compañía observó además cómo la IA se utilizaba para vigilar la persistencia de los implantes y modificar los elementos que habían sido identificados por las defensas.
“El caso va más allá del Living off the Land en sentido estricto, ya que también incluía malware desarrollado por los atacantes, pero ayuda a entender qué aporta la IA a las técnicas de evasión”, sostiene el experto de Panda Security. Las herramientas disponibles en el propio sistema pueden formar parte de una secuencia que se revisa y reajusta a partir de la respuesta de las defensas.
Google Cloud ha advertido además de esta convergencia de forma explícita. En su informe Cloud Threat Horizons H1 2026 recoge un ataque a la cadena de suministro que combinó IA y técnicas Living off the Land. Los atacantes utilizaron modelos de lenguaje para automatizar la obtención de credenciales y avanzar desde el entorno local de un desarrollador hasta conseguir acceso de administrador en la nube.
5. Agentes autónomos, cuando el ataque empieza a encadenar decisiones
Hasta ahora hemos hablado de IA ayudando a escribir instrucciones, interpretar un sistema, encontrar caminos o reaccionar ante una detección. Los agentes permiten reunir varias de esas capacidades dentro de un mismo flujo de trabajo. Pueden recibir una tarea, utilizar herramientas, comprobar el resultado y continuar a partir de la información que acaban de obtener.
La IA empieza a tomar decisiones durante el ataque
Esa evolución ya se observa en operaciones reales. En septiembre de 2026, Anthropic informó de campañas en las que se emplearon sistemas multiagente para realizar tareas de reconocimiento, explotación y extracción de datos. En algunos casos, un agente principal dividía el trabajo y lo distribuía entre varios subagentes que operaban en paralelo. Las campañas podían mantener información sobre los objetivos, las credenciales obtenidas y el estado de la operación para retomarla después.
La intervención humana seguía siendo importante. Los operadores elegían los objetivos, revisaban resultados y tomaban determinadas decisiones. Buena parte del trabajo intermedio podía quedar, sin embargo, en manos de los agentes durante horas o incluso días.
“Para Living off the Land, esta evolución abre un escenario especialmente relevante”, defiende el experto de Panda Security. “Un agente que consigue operar dentro de un entorno puede encontrarse desde el primer momento con herramientas que ya están disponibles allí. Puede identificar qué recursos tiene a su alcance, interpretar sus resultados y utilizar esa información para decidir qué hacer después”, explica.
Anthropic ha observado ya “enjambres” de agentes en los que una IA principal repartía entre distintos subagentes tareas de reconocimiento y posteriores a la intrusión. La compañía también describe operaciones en las que sistemas de IA ejecutaron comandos contra redes comprometidas, obtuvieron credenciales y participaron en movimientos laterales. Son piezas que hasta hace poco requerían una intervención humana mucho más continua y que empiezan a integrarse dentro de flujos de trabajo automatizados.
Ahí está el salto que introduce la IA en Living off the Land. Las herramientas que encuentra el atacante siguen siendo las mismas que utilizan administradores y usuarios legítimos. Lo que empieza a cambiar es la velocidad con la que puede descubrirlas, aprender a utilizarlas, combinar unas con otras y reajustar el recorrido a medida que avanza.
¿Qué puede hacer un usuario?
La parte más importante para el usuario empieza, en realidad, antes de que entren en juego todas estas técnicas. Living off the Land necesita que el atacante haya conseguido algún tipo de acceso al sistema y ahí siguen existiendo muchas oportunidades para cerrarle el paso.
“Para protegerse no hace falta conocer todas las técnicas que puede utilizar un ciberdelincuente. Lo más eficaz sigue siendo ponérselo difícil desde el principio y limitar hasta dónde puede llegar si consigue entrar”, explica Lambert.
Protege el acceso a tus dispositivos y cuentas
Un enlace de phishing, unas credenciales robadas, una vulnerabilidad sin corregir o una instrucción que convence al usuario para ejecutar un comando pueden proporcionar ese primer acceso. La IA puede acelerar muchas de las tareas que vienen después, desde analizar el entorno hasta adaptar instrucciones o buscar nuevas vías para avanzar.
Mantener el sistema y las aplicaciones actualizados reduce la exposición a vulnerabilidades conocidas. Activar la autenticación multifactor añade una barrera cuando unas credenciales terminan en manos equivocadas. Utilizar cuentas sin privilegios de administrador para las tareas cotidianas limita las posibilidades de actuación dentro del equipo. Y conviene desconfiar especialmente de mensajes que pidan descargar archivos, copiar comandos o seguir instrucciones poco habituales. Las soluciones de seguridad pueden detectar además comportamientos y secuencias anómalas aunque las herramientas implicadas sean legítimas.
“La IA está dando a los atacantes más capacidad para analizar lo que encuentran, reaccionar ante los obstáculos y automatizar parte del trabajo. Para el usuario, eso hace todavía más importante proteger bien el acceso a sus dispositivos y cuentas”, señala el experto de Panda Security.
Living off the Land lleva años formando parte del repertorio de los ciberdelincuentes. La IA puede hacerlo más rápido, más adaptable y capaz de encadenar cada vez más tareas. El reto ahora está en detectar una actividad maliciosa que puede servirse de herramientas perfectamente legítimas y cambiar de rumbo mientras el ataque sigue en marcha.