La IA está resolviendo desafíos CTF en minutos — qué significa esto para la formación en ciberseguridad

En BSidesSF 2026, el equipo ganador del CTF no solo usó IA, sino que automatizó todo el proceso. Un agente autónomo, ejecutando múltiples modelos de IA en paralelo, resolvió los 52 desafíos y obtuvo el primer lugar. La mayoría de los desafíos cayeron en minutos después de ser publicados. Un año antes, la mitad de los jugadores tenían a ChatGPT abierto como ayudante, pero el salto de 2025 a 2026 no fue incremental. Fue una transformación completa.

Cómo funcionó el sistema ganador

El equipo publicó su herramienta como código abierto después de la competencia. Su enfoque: sondear la plataforma CTF en busca de nuevos desafíos y luego lanzar agentes de IA en paralelo en contenedores Docker aislados. Cada desafío es atacado por múltiples modelos simultáneamente. Un modelo coordinador comparte ideas entre los agentes, y si uno se atasca, retroalimenta los descubrimientos de los demás.

¿El resultado? Un sistema que resuelve desafíos de criptografía, explotación binaria, seguridad web e ingeniería inversa más rápido que cualquier equipo humano. Un competidor señaló que el año anterior quedó en quinto lugar en solitario, pero en 2026 estimó que quedaría en el septuagésimo quinto sin IA. La brecha de habilidades no cambió; las herramientas sí.

Por qué esto importa más allá de las competiciones

Los CTF han sido un pilar de la formación en ciberseguridad durante décadas, utilizados por universidades, empresas y equipos de seguridad para evaluar y desarrollar habilidades. La suposición subyacente ha sido que resolver estos desafíos demuestra una capacidad real para manejar amenazas. Esa suposición se está rompiendo. Si un agente de IA puede resolver un CTF estándar de estilo jeopardy en minutos, el desafío ya no mide una habilidad exclusivamente humana.

Lo que la IA aún no puede hacer

Investigaciones de BSidesSF y fuentes académicas muestran que la IA sobresale en problemas acotados y bien definidos con criterios de éxito claros, exactamente lo que son los CTF de estilo jeopardy. Pero el trabajo de seguridad profesional rara vez se parece a eso. Los probadores de penetración deben gestionar el alcance, evitar falsos positivos, comprender el contexto del negocio y comunicarse con partes interesadas no técnicas. Los respondedores de incidentes coordinan bajo presión, priorizan y toman decisiones con información incompleta. Los analistas de SOC distinguen amenazas reales del ruido entre miles de alertas. Ninguno de estos tiene una bandera oculta al final.

Un estudio de NYU sobre CTF asistidos por IA encontró que el cuello de botella no era el razonamiento de la IA, sino la capacidad del humano para proporcionar contexto y dirección. La provocación ineficaz en realidad ralentizaba las cosas. Los agentes autónomos que se dirigían a sí mismos funcionaban mejor. Esto sugiere que la habilidad humana más importante ahora es el pensamiento estratégico, el establecimiento de contexto y saber qué preguntas hacer.

Hacia dónde debe ir la formación en ciberseguridad

Los programas de formación construidos enteramente en torno a desafíos estáticos basados en banderas están enseñando habilidades que la IA ya hace mejor. Esas habilidades se convierten en requisitos básicos, no en diferenciadores. El cambio debería ser hacia ejercicios de ataque y defensa en vivo con entornos cambiantes, simulacros cibernéticos de varios días que requieran coordinación de equipo y comunicación de liderazgo, y simulaciones de respuesta a incidentes sin una única respuesta correcta, solo decisiones mejores o peores bajo incertidumbre.

Las organizaciones que realizan simulacros cibernéticos y formación basada en simulación están descubriendo que estos ejercicios revelan capacidades y brechas que los CTF tradicionales nunca expusieron. ¿Puede tu equipo comunicarse claramente durante una crisis? ¿Pueden priorizar cuando todo parece urgente? ¿Pueden explicar los riesgos técnicos a los ejecutivos? Estas son las preguntas que importan ahora.