El Threat Hunting Report 2026 de CrowdStrike mide la ventana de explotación en horas — y señala que la IA de vanguardia no la redujo primero

CrowdStrike publicó su 2026 Threat Hunting Report el 3 de agosto de 2026, y la cifra que se difundió fue 88%: entre enero y junio de 2026, según la empresa, el 88% de la explotación que observó contra vulnerabilidades con una prueba de concepto pública comenzó dentro de las 48 horas posteriores a la publicación de esa prueba de concepto. El informe se atribuye a CrowdStrike Intelligence y CrowdStrike OverWatch, abarca los doce meses de julio de 2025 a junio de 2026 y sigue a lo que la empresa describe como más de 290 adversarios nombrados. Dos hallazgos incorporan el componente de IA: una campaña de LLMJacking que generó casi 200.000 solicitudes de API en dos minutos, y pistas de detección generadas por agentes de IA que llegan a una tasa 2,5 veces mayor que la de las generadas por humanos. A la entrada del archivo no se le atribuye ninguna víctima nombrada, cifra de pérdidas ni imputación; se clasifica como informe, severidad info, con participación de IA confirmada. La calificación de severidad, el nivel de confianza y la lista de fuentes del registro se encuentran en el archivo de incidentes de IA, junto con las entradas registradas a su alrededor.

El reloj empieza en la prueba de concepto, no en el parche.

La frase en el blog de CrowdStrike está cuidadosamente redactada, y vale la pena citarla en lugar de parafrasearla: de enero a junio de 2026, «el 88 % de» la explotación que CrowdStrike observó «de vulnerabilidades con un PoC público se llevó a cabo dentro de las 48 horas posteriores a la publicación del PoC». El intervalo va desde el momento en que el código de exploit funcional se hace público hasta el momento en que alguien lo usa, no desde el momento en que se publica un parche. Duncan Riley, de SiliconANGLE, escribiendo el día de la publicación, lo formuló así: «Entre enero y junio, esa brecha fue inferior a 48 horas en el 88 % de los casos». Chi-gyu Hwang, de DigitalToday, describió el mismo método: CrowdStrike «midió en horas el intervalo desde la publicación de un exploit de prueba de concepto hasta su uso en ataques reales».

Esa frase incorpora dos salvedades que suelen perderse al convertirla en titular. La primera es el denominador: el 88 % describe solo vulnerabilidades que ya contaban con una prueba de concepto pública, así que no dice nada sobre el conjunto mucho mayor de fallos que nunca la obtienen. La segunda es el propio reloj. El resumen de una línea del propio archivo comprime el hallazgo en «en las 48 horas posteriores a la divulgación», y la publicación de la PoC y la divulgación del parche son acontecimientos distintos en días distintos. Cuando ambos divergen, el informe mide el más indulgente de los dos: una vulnerabilidad puede divulgarse y parchearse meses antes de que alguien publique código de explotación, y las 48 horas de CrowdStrike empiezan en el segundo acontecimiento.

El ejemplo práctico más claro del informe es un grupo vinculado a Bielorrusia al que CrowdStrike llama UMBRAL BISON, y que, según la compañía, explotó CVE-2026-31431, una vulnerabilidad local de escalada de privilegios en Linux, en abril de 2026. Según el informe, la vulnerabilidad se divulgó públicamente el 29 de abril de 2026; al día siguiente, OverWatch detectó un despliegue generalizado del exploit; y aproximadamente el 94% de los eventos en esas primeras 24 horas correspondían a comportamiento de prueba basado en el código PoC público, y no a desarrollo a medida. CrowdStrike afirma que descubrió la actividad del actor "en poco más de 20 horas tras la divulgación pública". Ese es un caso aislado, procedente de la propia telemetría de un proveedor, y es el tipo de especificidad que el porcentaje agregado no puede ofrecer.

Junto a ello, el informe registra que la explotación de día cero aumentó un 42 % interanual, una cifra que SiliconANGLE recoge del mismo documento. Las dos cifras describen poblaciones diferentes —vulnerabilidades explotadas sin ninguna PoC pública, y vulnerabilidades explotadas después de que exista una— y el informe no las suma.

React2Shell: 800 prospectos, 80 víctimas, cuatro días

El caso práctico más concreto del informe es React2Shell, identificado como CVE-2025-55182 — una vulnerabilidad de ejecución remota de código no autenticada en React Server Components y Next.js. SiliconANGLE documenta que la divulgación y las correcciones llegaron el 3 de diciembre de 2025 y que el código de explotación funcional apareció al día siguiente. CrowdStrike afirma que los grupos de nexo chino que denomina VAULT PANDA y GENESIS PANDA lanzaron ataques deliberados en un plazo de 24 horas desde la divulgación pública de la vulnerabilidad, y que OverWatch respondió a más de 800 pistas de búsqueda en más de 80 organizaciones víctimas en los primeros cuatro días. DigitalToday informa de los mismos dos grupos y de la misma cifra de 24 horas, medida en su versión desde la aparición del código de explotación.

Leer ese caso junto al 88% requiere cierto cuidado, porque ambos se sitúan en tramos distintos del periodo de reporte. React2Shell se divulgó el 3 de diciembre de 2025, en la primera mitad de la ventana de julio de 2025 a junio de 2026 del informe; el agregado del 88% abarca solo de enero a junio de 2026. Son dos observaciones de un mismo documento, no dos mediciones de una misma tendencia, y quien las superpone hasta formar una única curva acelerada está leyendo algo que el informe no dijo.

Lo que el caso React2Shell sí deja claro es la forma del problema al que se enfrenta el defensor. La brecha entre el código de explotación público y los ataques se midió en horas, y la consecuencia no fue un número de hosts comprometidos, sino un número de pistas de caza: 800 de ellas, repartidas entre unas 80 organizaciones, en cuatro días. Esa es una cifra de carga de trabajo, y la carga de trabajo es lo que un proveedor de caza de amenazas puede contar realmente.

Los hallazgos de IA, y los que no tienen ningún número adjunto.

La campaña LLMJacking es el detalle sobre IA más preciso del informe, y SiliconANGLE incluye más información al respecto que la entrada del blog. En una campaña de mayo contra el servicio de modelos fundacionales de un proveedor de nube, un actor escaló una identidad comprometida hasta privilegios de administrador, envió el formulario de caso de uso requerido para desbloquear el acceso a los modelos y luego envió casi 200.000 solicitudes a la API "en una avalancha inicial de dos minutos antes de que entrara en vigor la limitación de velocidad". El propio resumen de CrowdStrike afirma que la campaña generó casi 200.000 solicitudes a la API en dos minutos, "lo que provocó un impacto financiero y operativo a gran escala".

Ahí es donde termina el registro. El informe no aporta ninguna cifra en dólares para el impacto, ningún nombre para el proveedor de la nube y ningún nombre para el actor. La expresión «impacto financiero y operativo a gran escala» es la caracterización del proveedor, no una pérdida medida, y nada en los tres artículos independientes revisados para este trabajo le añade una cifra. En consecuencia, el archivo no registra ningún daño real para esta entrada — no porque no haya ocurrido nada, sino porque la cobertura cuantifica el mecanismo y deja el costo en forma de prosa.

La segunda cifra de IA es una proporción, no un incidente. CrowdStrike afirma que las detecciones activadas por agentes de IA «ahora revelan 2,5 veces más indicios de amenazas que la actividad impulsada manualmente», un hallazgo que atribuye a OverWatch; eSecurity Planet lo presenta como indicios de detección generados por IA que aparecen «2,5 veces más frecuentemente que los indicios generados por humanos». Leído literalmente, eso es una afirmación sobre el volumen de trabajo que llega a un centro de operaciones de seguridad, no sobre la competencia de los agentes que lo producen, y el informe no ofrece una tasa de precisión ni de falsos positivos que la acompañe.

El tercero es una proporción dentro de una taxonomía: CrowdStrike dice que las técnicas de acceso a modelos de IA representaron el 16 % de las técnicas de MITRE ATLAS que observó a lo largo del año, y que un grupo vinculado a la RPDC al que llama FAMOUS CHOLLIMA está utilizando entornos centrados en IA como arma contra empresas de criptomonedas y blockchain — una instancia de la técnica de ATLAS para el compromiso de la cadena de suministro de IA, AML.T0010. Los hallazgos sobre la cadena de suministro son donde el informe es más concreto: el grupo al que llama STARDUST CHOLLIMA utilizó credenciales de mantenedor robadas en marzo de 2026 para comprometer el paquete npm Axios, y en junio de 2026 inyectó un paquete malicioso en al menos 131 paquetes del framework Mastra AI; el grupo al que llama ALTERED SPIDER comprometió más de 300 dependencias de software en un solo día; y el 87 % de las amenazas de registros de software que CrowdStrike identificó en la primera mitad de 2026 involucraban paquetes npm.

Lo que dice el informe frente a su propio titular

El título del informe es "La ventana de explotación se cierra a medida que se acelera el uso de la IA", lo que se lee como una afirmación causal. El cuerpo del texto no formula ninguna. En la entrada del blog, CrowdStrike escribe que "este patrón es anterior a la aparición de los modelos de IA de vanguardia" y que desplegar dichos sistemas "probablemente" comprimirá aún más los plazos de explotación al acelerar el descubrimiento de vulnerabilidades y el desarrollo de exploits. En el propio planteamiento del informe, la IA es un acelerador que llega sobre una tendencia que ya se medía en horas — y un nuevo objetivo, porque los sistemas de IA guardan secretos, acceso a modelos y capacidad de cómputo que los adversarios desean.

Adam Meyers, jefe de operaciones contra adversarios de CrowdStrike, es citado por SiliconANGLE diciendo que «la IA ya está integrada en las operaciones modernas de los adversarios» y que las organizaciones deben «proteger la IA con la misma agresividad con la que la adoptan». Ni esa cita ni el cuerpo del informe afirman que la IA causó la ventana de 48 horas; el informe sitúa explícitamente el patrón en una fecha anterior a los modelos de frontera.

La palabra «likely» cumple una función real en esa frase y marca el límite honesto del documento. Todo lo que el informe dice sobre que la IA reduce aún más la ventana es una previsión, y además una previsión de proveedor. Lo que el informe puede respaldar con datos es más limitado y, en cierto modo, más útil: los actores son rápidos ante fallos para los que existe código de explotación público, la infraestructura de IA es ahora a la vez una superficie de ataque y un recurso que puede ser robado, y la carga de detección crece más rápido que la capacidad humana de absorberla.

Lo que difundió la cobertura independiente, y lo que nada de eso midió

Tres medios ajenos a CrowdStrike publicaron artículos sobre el informe el día de su publicación o en fechas cercanas, y las diferencias entre ellos son ilustrativas respecto a qué hallazgos sobrevivieron al contacto con una segunda redacción.

SiliconANGLE incluyó la cifra del 88% con su método, la cronología de React2Shell, incluidos los recuentos de 800 leads y 80 víctimas, el aumento del 42% de los zero-day, la cuota del 16% de ATLAS, la campaña LLMJacking en su forma más completa, la ratio de 2,5x de ventaja en detección y la cita de Meyers. No incluyó el caso UMBRAL BISON.

eSecurity Planet, en el artículo de Ken Underhill del 4 de agosto de 2026, recogió la cifra del 88%, la proporción de 2,5x, la afirmación de que las ciberamenazas habilitadas por IA aumentaron un 89% en 2025, la cuota de npm situada en el 87%, las más de 300 dependencias de ALTERED SPIDER, un aumento del 171% en los ataques en la nube con motivación económica, la duplicación del vishing y el aumento de 15 veces del phishing con código de dispositivo, y un incremento general del 4% interanual de las intrusiones frente al 27% del año anterior. No mencionó VAULT PANDA, GENESIS PANDA, React2Shell, OverWatch ni LLMJacking.

DigitalToday publicó la cifra del 88 % con el reloj basado en PoC, el período de notificación de julio de 2025 a junio de 2026, el recuento de más de 290 adversarios y la cronología de React2Shell con ambos grupos vinculados a China.

Lo más importante es lo que los tres tienen en común: cada cifra anterior proviene de la telemetría de CrowdStrike. Ninguno de los tres medios midió la ventana de 48 horas, contó las pistas de caza ni auditó de forma independiente la relación de antelación de detección; informaron lo que dijo el proveedor, con exactitud, y lo atribuyeron. Por lo tanto, la corroboración independiente de este registro existe en el nivel de la cobertura periodística —tres redacciones que coinciden en lo que dice el documento— y no en el nivel de la medición, que es exactamente lo que describe el grado de confianza A del archivo y lo que no describe.

Lo que el registro no contiene

Los vacíos son concretos. No se nombra ninguna organización víctima en ninguna parte de las conclusiones del informe tal como las resume {{1}}CrowdStrike{{/1}} ni en los {{2}}tres medios{{/2}}: las {{3}}más de 80 organizaciones detrás de las pistas de React2Shell{{/3}} son un recuento, no una lista. La {{4}}campaña LLMJacking{{/4}} tiene un mecanismo y un volumen de solicitudes, pero ninguna cifra de pérdidas. El {{5}}88%{{/5}} no tiene denominador publicado —cuántas vulnerabilidades, cuántos eventos de explotación— en la entrada del blog ni en ninguna de las coberturas secundarias revisadas para este artículo. Y no hay ninguna {{6}}proporción de la aceleración atribuible a la IA{{/6}} en ninguna parte del documento, porque la postura de CrowdStrike es que la aceleración es anterior a la IA de frontera.

Nada de eso hace que el registro sea incorrecto. Lo convierte en un informe de inteligencia sobre amenazas de un proveedor con una metodología identificada por su nombre y ningún sujeto identificado por su nombre, que es el aspecto que tiene el género. La razón para leerlo con atención en lugar de hojear el 88 % es que el informe es más cuidadoso que su propio titular: separa una medición de una previsión, sitúa la tendencia de velocidad antes de la tecnología a la que todos quieren culpar y deja el coste de las campañas específicas de IA como una frase en lugar de una cifra.

Lo que cambiaría el panorama es una medición externa del mismo intervalo — que un CERT nacional publique su propia distribución de PoC a explotación, o que un regulador exija datos sobre los tiempos de los incidentes. Nada de ese tipo aparece en las fuentes revisadas aquí. Hasta que eso ocurra, la ventana de 48 horas es la visión de una sola empresa sobre su propia telemetría, publicada el 3 de agosto de 2026 y corroborada por tres redacciones que la leyeron del mismo modo.