De la pirámide de Threat Profiling a la Pirámide de Actores de Amenaza 2026

Introducción

Tesis. La pirámide de seis niveles que usamos para perfilar atacantes sigue siendo útil, pero en 2026 ordena mal: ordena quién es el actor cuando lo que hoy discrimina es qué capacidad pone en juego en una operación concreta. Propongo mantener los seis niveles, cambiar la variable que los ordena y tratar la IA como un amplificador transversal, no como un séptimo piso.

En 2019, desde el CSIRT de Redbanc, analizamos mucho esta pirámide. Era la lámina que todos tenían en la presentación: verde abajo, rojo arriba, script kiddies en la base y naciones en la punta. Funcionaba porque era simple. Siete años después, esa misma simplicidad se volvió un riesgo.

Tres hallazgos de 2026 lo muestran. ENISA constata que la distinción entre cibercrimen, hacktivismo y actividad con nexo estatal sigue difuminándose. Verizon mide que la explotación de vulnerabilidades ya supera al abuso de credenciales como vector de entrada. Y Microsoft sostiene que la IA da a actores poco sofisticados una persistencia que antes era exclusiva de las agencias de inteligencia. Si un mismo grupo opera en tres pisos según el día, el piso deja de describir al grupo.

Antes de proponer nada, fui a buscar de dónde sale realmente la pirámide. La respuesta es más interesante de lo que recordaba.

El origen: no es una pirámide, son dos modelos pegados

La lámina «Threat Profiling» circula desde hace una década casi siempre sin autor. Su aparición fechada más antigua que encontré es la FIG. 1 de la patente Recombinant threat modeling de T-Mobile USA, de los inventores Gregory Reith y Brett Peppe (US 10,216,938 B2). La patente tiene prioridad del 5 de diciembre de 2014; la solicitud se publicó el 9 de junio de 2016 y la concesión llegó en febrero de 2019. El OCR de la portada de la solicitud muestra los elementos de la lámina: un rótulo de actor por nivel (de script kiddies a naciones), el eje intención/capacidad y los multiplicadores financiamiento, activos y tecnología. Esa figura, a su vez, ensambla dos trabajos del gobierno de EE.UU. publicados con meses de diferencia (Figura 1 y Tabla 1).

La pirámide del Defense Science Board (2013)

El informe Resilient Military Systems and the Advanced Cyber Threat fue un estudio de 18 meses de un grupo de trabajo para el Secretario de Defensa de EE.UU. Su taxonomía agrupa seis niveles en tres pares. Los niveles I y II explotan vulnerabilidades conocidas. Los III y IV tienen recursos y pericia para descubrir vulnerabilidades nuevas. Los V y VI invierten miles de millones de dólares y años para crear vulnerabilidades, incluso en sistemas bien protegidos. El ancho de cada piso representa la cantidad de practicantes, no el riesgo. El ejemplo de nivel VI del propio informe es analógico: el proyecto GUNMAN, en el que la inteligencia soviética modificó máquinas de escribir IBM Selectric de la embajada de EE.UU. en Moscú.

El DSB dejó dos advertencias que casi nadie copió a la lámina, y que son la clave de esta actualización. La primera: los actores de nivel alto usan la técnica más baja que les sirva, para esconderse en el ruido de los niveles inferiores. La segunda: los Estados pueden actuar mediante proxies, de modo que un grupo de nivel medio accede a capacidades de nivel alto. Además, su modelo de riesgo trataba la consecuencia como un parámetro separado de la amenaza. El autor original ya advertía, en otras palabras, que el nivel describe una capacidad y no una identidad.

La matriz de Sandia (2007–2012)

La franja inferior de la lámina (intensidad, sigilo, tiempo, personal, conocimiento, acceso y los multiplicadores financiamiento, activos y tecnología) viene de la matriz genérica de amenaza de Sandia National Laboratories. Su motivación era justamente evitar las etiquetas: sus autores criticaban que los modelos de la época fueran poco más que una progresión de rótulos, que refuerzan prejuicios y oscurecen la capacidad real. Propusieron describir la amenaza por atributos medibles, en dos familias (compromiso y recursos) y con ocho niveles.

Hay un detalle fino. Sandia trata el financiamiento, los activos y la tecnología como multiplicadores: potencian atributos, pero no cambian el nivel de la amenaza. La lámina popular los puso en la misma fila que el resto. Esa confusión importa en 2026, porque la IA es precisamente un multiplicador.

De la patente a la lámina de referencia

La patente no cita al DSB, pero usa su misma escala I–VI y la combina con los atributos de Sandia; la filiación es una inferencia por coincidencia, no una cita. Desde ahí la lámina circuló sin atribución entre consultoras, cursos y blogs. Telenor llevó los seis niveles al lenguaje de arquitectura defendible en 2020, con un dato útil: un nivel 6 puede asignar más de cien personas a una sola operación por etapas. En el camino se perdieron las advertencias del DSB y la lógica de atributos de Sandia.

El modelo tampoco está solo. La Tabla 2 lo sitúa junto a otras escalas de adversario. Lo relevante es la columna de impacto: los esquemas que se usan para gestionar riesgo (NIST SP 800-30, DSB) separan el impacto del nivel del adversario; la lámina popular los funde.

Ampliar figura 1 ↗

Qué envejeció: cuatro supuestos que ya no se sostienen

El modelo no está equivocado: está desalineado con cómo se organiza hoy la oferta de ataque. Cuatro supuestos implícitos de la lámina dejaron de cumplirse. La Tabla 3 resume la evidencia.

1. Identidad del actor = capacidad. La lámina asigna cada tipo de actor a un piso. Pero la economía del ransomware como servicio, los intermediarios de acceso inicial y los mercenarios comerciales separaron quién opera de quién desarrolla: un afiliado con poca pericia alquila capacidades de nivel IV. ENISA constata que las categorías de amenaza siguen difuminándose y que operadores criminales, hacktivistas y con nexo estatal recurren cada vez más a vectores, herramientas y enfoques similares. El rótulo «hacktivista» no dice qué capacidad tiene el grupo esta semana.

2. Lo de abajo es ruido; lo de arriba es lo grave. La pirámide sugiere que el impacto crece con el piso. Los datos de 2025 no lo respaldan de forma lineal. ENISA analizó 8.257 incidentes: el 51,3 % fueron DDoS, el tipo más frecuente. Sin embargo, el mismo informe concluye que la actividad financiera, encabezada por el ransomware, es la de mayor impacto a corto plazo, y que el ciberespionaje lo es a largo plazo. A la inversa, una intrusión oportunista sobre un sistema OT expuesto puede tener consecuencias de nivel VI.

3. Las defensas se apilan por piso. La columna derecha de la lámina asigna «firewall, AV» a la base y «contrainteligencia» a la punta. Hoy la entrada dominante es transversal. Según el Verizon DBIR 2026, la explotación de vulnerabilidades subió al 31 % de los accesos iniciales (20 % el año anterior) y el 48 % de las brechas involucró a un tercero (30 % el año anterior). La cadena de suministro, que el DSB reservaba al nivel V, es hoy la puerta de casi cualquier nivel.

4. La tecnología es un dato fijo. Sandia ya advertía que la tecnología disponible limita atributos como el tiempo y el conocimiento. La IA generativa y agéntica movió ese límite para todos a la vez. Microsoft sostiene que la IA comprime la cadena de ataque de los actores sofisticados de días a segundos. Eso no sube a nadie de piso por sí solo, pero acorta la distancia entre pisos.

La propuesta 2026: la misma escalera, otra variable

La Pirámide de Actores de Amenaza 2026 conserva los seis niveles y el gradiente de capacidad y persistencia. Cambia tres cosas: los pisos se nombran por modo de operación y no por tipo de actor; el ancho se declara ilustrativo; y cada nivel lleva su uso de IA y su defensa prioritaria (Figura 2 y Tabla 4).

La decisión de diseño más importante es la separación de ejes. La lámina original ponía complejidad e impacto en el mismo eje vertical. La versión 2026 los separa: el eje vertical es capacidad y persistencia, y el impacto se evalúa aparte, en el perfil de la operación. Por eso el piso I advierte que un ataque simple también puede causar un impacto crítico.

Leída así, la propuesta no rompe con el DSB. Vuelve a su advertencia original (el nivel es capacidad, no identidad) y a la intención de Sandia (describir por atributos, no por rótulos), que la versión popular había perdido.

Ampliar figura 2 ↗

La IA no es un piso nuevo: es un multiplicador

La tentación obvia era agregar un nivel VII «atacante con IA». Lo descarté porque repite el error que Sandia quiso evitar: convertir una tecnología en una identidad. En términos de la matriz original, la IA es un multiplicador: potencia el personal técnico efectivo, el conocimiento y el tiempo sin cambiar por sí sola el nivel del actor. La propuesta la representa como una franja que atraviesa los seis pisos, con tres roles:

• IA para atacar: phishing personalizado, clonación de voz y video, reconocimiento y automatización. Microsoft observa uso de IA en reconocimiento, ingeniería social, desarrollo de malware y exploits, y actividad posterior al compromiso.
• IA como objetivo: inyección de instrucciones, fuga de datos y abuso de herramientas y permisos de agentes. Verizon reporta que el 67 % de los usuarios accede a servicios de IA con cuentas no corporativas desde equipos de la empresa.
• IA para defender: correlación de alertas y apoyo a la respuesta, con validación humana, registros y permisos limitados.

El efecto neto es una compresión vertical de la pirámide. La IA baja la barrera de entrada de los pisos I a III y acelera los ciclos de los pisos IV a VI. Lo que no entrega automáticamente es lo que sigue separando a un nivel VI: escala, simultaneidad, acceso humano cercano y capacidad de crear vulnerabilidades en el ciclo de vida. La IA reduce barreras de entrada; no convierte automáticamente a cualquier actor en una amenaza avanzada.

Lo vimos con datos propios. En HIVE-AI, el honeypot multiservicio para APIs de IA generativa que publicamos con Sergio Tobón en el International Journal of Information Security, registramos 16.683 ataques desde 1.229 IP de 50 países en 20 días de operación. En una muestra validada de 100 sesiones, cerca del 76 % fue escaneo automatizado, el 22 % sondeo de múltiples fachadas con intentos de inyección y apenas el 2 % actividad adaptativa de tipo dirigido. Traducido a la pirámide: el objetivo cambió a las APIs de IA, pero el grueso del tráfico sigue operando en los pisos I y II.

Perfil de la operación: cómo aplicar el modelo

El nivel de la pirámide es una conclusión, no un punto de partida. Se llega a él evaluando seis dimensiones de la operación observada (Figura 3 y Tabla 5). Las cuatro primeras describen al atacante y heredan la lógica del DSB y de Sandia; las dos últimas describen a la organización y son el aporte nuevo, porque el riesgo es relacional.

El procedimiento propuesto tiene cinco pasos:

1. Describir antes de etiquetar. Registrar las seis dimensiones con evidencia: TTP mapeadas a MITRE ATT&CK, línea de tiempo y vector de entrada.
2. Ubicar el nivel por capacidad y persistencia. Elegir el piso más parecido, como recomendaba Sandia, y no el que calza con el rótulo del grupo.
3. Separar lo propio de lo alquilado. Si la capacidad viene de un servicio (RaaS, intermediario de acceso, kit con IA), registrarlo: distingue al operador de la cadena que lo sostiene.
4. Cruzar con exposición e impacto. Una operación de nivel I contra un HMI expuesto a internet se gestiona como incidente crítico.
5. Elegir defensas por dimensión, no por piso. Acceso: identidad y terceros. Persistencia: detección y caza de amenazas. Impacto: copias inmutables y recuperación ensayada.

Ejemplo ilustrativo (caso hipotético). Una empresa sanitaria detecta el cifrado de servidores de su red corporativa; la red OT está segmentada. La intención es lucro. La capacidad es alta pero alquilada: un afiliado de una plataforma RaaS. El acceso se obtuvo con credenciales de un proveedor de mantención remota y la persistencia duró once días antes del cifrado. La exposición incluye servidores historian conectados a la red IT, y el impacto potencial alcanza la operación de las plantas. Resultado: nivel IV por modo de operación, con exposición e impacto de infraestructura crítica. La lámina antigua lo habría archivado como «crimen organizado» y habría propuesto antivirus y SIEM.

Ampliar figura 3 ↗

Límites del modelo y agenda de validación

Una propuesta seria tiene que decir dónde falla. La Tabla 6 resume las principales amenazas a la validez. Los seis niveles ordenan, pero no miden: sumar o promediar niveles no tiene sentido. La atribución es incierta, porque los actores de nivel alto se disfrazan de nivel bajo a propósito. Las fuentes describen lo que se reporta y no todo lo que ocurre, y en Latinoamérica hay pocos datos públicos y casi ninguno sobre OT. Y el modelo es una síntesis didáctica: no es una clasificación oficial ni una escala estadística.

La agenda para validarlo es concreta. Primero, un panel Delphi de analistas de CTI de la región. Segundo, una prueba de concordancia entre evaluadores (kappa de Fleiss) que clasifique los mismos casos con la lámina antigua y con la nueva. Tercero, un mapeo de los grupos documentados en MITRE ATT&CK contra los seis niveles. Si dos analistas no llegan al mismo piso con la misma evidencia, el modelo tiene que corregirse.

Conclusión

Mi postura es simple: dejemos de usar la pirámide para ponerle nombre al enemigo y usémosla para medir la operación que tenemos al frente. El nivel describe lo que el atacante puede hacer y por cuánto tiempo; la exposición y el impacto los pone la organización.

La IA hace este cambio urgente. Cuando un afiliado de nivel I opera con herramientas que hace tres años eran de nivel IV, defender «por piso» deja huecos justo donde más duele. Si enseñas esta lámina, o la tienes en el informe de riesgo de tu directorio, revisa qué variable está ordenando. Si es el tipo de actor, estás usando la versión de 2013.

Referencias

Nota sobre figuras y uso de IA. Las Figuras 1–3 son esquemas conceptuales sin datos medidos, dibujados como código SVG (paleta Okabe–Ito, legibles en escala de grises). La redacción y las figuras contaron con asistencia de un modelo de lenguaje (Claude, Anthropic). No se usó generación de imágenes con IA. Todas las cifras se verificaron en las fuentes citadas al 29 de octubre de 2026.