Recepção: 09-07-2026
Aprovação: 15-08-2026
pág. 3443
DOI: https://doi.org/10.61616/rvdc.v7i2.1759
Evasión de Sistemas EDR mediante Cargas Útiles Polimórficas
Generadas por Inteligencia Artificial: Un Enfoque de Auditoría
Ofensiva
Juan Rigoberto Castillo Serracín
juan.castillos@up.ac.pa
https://orcid.org/0009-0006-5821-7028
Universidad de Panamá, Centro Regional Universitario de San Miguelito
Panamá
Carlos V. Bruce
Carlos.bruce@up.ac.pa
https://orcid.org/0009-0004-4223-0821
Universidad de Panamá, Facultad de Informática Electrónica y Comunicación
Panamá
Ibrain Kadir Rios
ibrain.lin@up.ac.pa
https://orcid.org/0009-0009-0690-6261
Universidad de Panamá, Facultad de Informática Electrónica y Comunicación
Panamá
Alvin Blanco
alvin.blanco@up.ac.pa
https://orcid.org/0009-0009-1989-8520
Universidad de Panamá
Panamá
Javier Miguel Gómez S.
javier.gomez@up.ac.pa
https://orcid.org/0009-0000-4583-5157
Universidad de Panamá, Centro Regional Universitario de San Miguelito
Panamá
pág. 3444
RESUMEN
La evolución de la Inteligencia Artificial (IA) generativa ha incrementado significativamente la
capacidad de las amenazas avanzadas para evadir las plataformas de Endpoint Detection and
Response (EDR), cuestionando la eficacia de los modelos tradicionales de auditoría y
validación defensiva. Este estudio tuvo como objetivo desarrollar un marco conceptual de
auditoría ofensiva orientado a evaluar las limitaciones arquitectónicas de los EDR frente a
cargas útiles polimórficas capaces de eludir la telemetría basada en API Hooking y ejecutar
llamadas directas al núcleo del sistema operativo. Se adoptó un enfoque cualitativo,
descriptivo y analítico mediante una revisión sistemática de la literatura, siguiendo una
adaptación de los lineamientos PRISMA 2020. Se analizaron 17 documentos científicos y
técnicos publicados entre 2021 y 2026, provenientes de Scopus, Web of Science, IEEE Xplore,
MITRE ATT&CK y organismos especializados en inteligencia de amenazas. Los hallazgos
evidencian que la automatización de técnicas como Direct Syscalls, Control Flow Flattening,
ofuscación semántica y modificación dinámica de la entropía reduce considerablemente la
visibilidad de los EDR cuya telemetría depende del modo usuario. Asimismo, se identifica la
necesidad de evolucionar desde modelos de detección basados en Indicadores de
Compromiso (IoCs) hacia auditorías sustentadas en Indicadores de Comportamiento (IoBs),
Threat Hunting proactivo y análisis forense de memoria. Finalmente, se propone integrar
estos mecanismos dentro de un modelo de adquisición tecnológica basado en los principios
de Zero Trust, fortaleciendo la resiliencia de la infraestructura crítica y la gestión del riesgo en
la cadena de suministro frente a amenazas impulsadas por IA.
Palabras clave: seguridad de endpoints, auditoría de seguridad, malware polimórfico,
inteligencia artificial generativa, evasión de defensas
Licencia
Este trabajo está bajo una licencia Creative Commons Attribution 4.0 International.
RESUMEN
La evolución de la Inteligencia Artificial (IA) generativa ha incrementado significativamente la
capacidad de las amenazas avanzadas para evadir las plataformas de Endpoint Detection and
Response (EDR), cuestionando la eficacia de los modelos tradicionales de auditoría y
validación defensiva. Este estudio tuvo como objetivo desarrollar un marco conceptual de
auditoría ofensiva orientado a evaluar las limitaciones arquitectónicas de los EDR frente a
cargas útiles polimórficas capaces de eludir la telemetría basada en API Hooking y ejecutar
llamadas directas al núcleo del sistema operativo. Se adoptó un enfoque cualitativo,
descriptivo y analítico mediante una revisión sistemática de la literatura, siguiendo una
adaptación de los lineamientos PRISMA 2020. Se analizaron 17 documentos científicos y
técnicos publicados entre 2021 y 2026, provenientes de Scopus, Web of Science, IEEE Xplore,
MITRE ATT&CK y organismos especializados en inteligencia de amenazas. Los hallazgos
evidencian que la automatización de técnicas como Direct Syscalls, Control Flow Flattening,
ofuscación semántica y modificación dinámica de la entropía reduce considerablemente la
visibilidad de los EDR cuya telemetría depende del modo usuario. Asimismo, se identifica la
necesidad de evolucionar desde modelos de detección basados en Indicadores de
Compromiso (IoCs) hacia auditorías sustentadas en Indicadores de Comportamiento (IoBs),
Threat Hunting proactivo y análisis forense de memoria. Finalmente, se propone integrar
estos mecanismos dentro de un modelo de adquisición tecnológica basado en los principios
de Zero Trust, fortaleciendo la resiliencia de la infraestructura crítica y la gestión del riesgo en
la cadena de suministro frente a amenazas impulsadas por IA.
Palabras clave: seguridad de endpoints, auditoría de seguridad, malware polimórfico,
inteligencia artificial generativa, evasión de defensas
Licencia
Este trabajo está bajo una licencia Creative Commons Attribution 4.0 International.
pág. 3445
Evasion of EDR Systems Through Polymorphic Payloads Generated
by Artificial Intelligence: An Offensive Auditing Approach
ABSTRACT
The evolution of generative Artificial Intelligence (AI) has significantly increased the capability
of advanced threats to evade Endpoint Detection and Response (EDR) platforms, questioning
the efficacy of traditional auditing and defensive validation models. This study aimed to
develop a conceptual framework for offensive auditing designed to evaluate the architectural
limitations of EDRs against polymorphic payloads capable of bypassing API Hooking-based
telemetry and executing direct calls to the operating system kernel. A qualitative, descriptive,
and analytical approach was adopted through a systematic literature review, following an
adaptation of the PRISMA 2020 guidelines. A total of 17 scientific and technical documents
published between 2021 and 2026, sourced from Scopus, Web of Science, IEEE Xplore, MITRE
ATT&CK, and specialized threat intelligence organizations, were analyzed. The findings
provide evidence that the automation of techniques such as Direct Syscalls, Control Flow
Flattening, semantic obfuscation, and dynamic entropy modification considerably reduces
the visibility of EDRs whose telemetry relies on user mode. Furthermore, the study identifies
the need to evolve from detection models based on Indicators of Compromise (IoCs) to audits
supported by Indicators of Behavior (IoBs), proactive Threat Hunting, and memory forensics.
Finally, it is proposed to integrate these mechanisms within a technology acquisition model
based on Zero Trust principles, strengthening the resilience of critical infrastructure and
supply chain risk management against AI-driven threats.
Keywords: endpoint security, security auditing, polymorphic malware, generative artificial
intelligence, defense evasion
License
This work is licensed under a Creative Commons Attribution 4.0 International license.
Evasion of EDR Systems Through Polymorphic Payloads Generated
by Artificial Intelligence: An Offensive Auditing Approach
ABSTRACT
The evolution of generative Artificial Intelligence (AI) has significantly increased the capability
of advanced threats to evade Endpoint Detection and Response (EDR) platforms, questioning
the efficacy of traditional auditing and defensive validation models. This study aimed to
develop a conceptual framework for offensive auditing designed to evaluate the architectural
limitations of EDRs against polymorphic payloads capable of bypassing API Hooking-based
telemetry and executing direct calls to the operating system kernel. A qualitative, descriptive,
and analytical approach was adopted through a systematic literature review, following an
adaptation of the PRISMA 2020 guidelines. A total of 17 scientific and technical documents
published between 2021 and 2026, sourced from Scopus, Web of Science, IEEE Xplore, MITRE
ATT&CK, and specialized threat intelligence organizations, were analyzed. The findings
provide evidence that the automation of techniques such as Direct Syscalls, Control Flow
Flattening, semantic obfuscation, and dynamic entropy modification considerably reduces
the visibility of EDRs whose telemetry relies on user mode. Furthermore, the study identifies
the need to evolve from detection models based on Indicators of Compromise (IoCs) to audits
supported by Indicators of Behavior (IoBs), proactive Threat Hunting, and memory forensics.
Finally, it is proposed to integrate these mechanisms within a technology acquisition model
based on Zero Trust principles, strengthening the resilience of critical infrastructure and
supply chain risk management against AI-driven threats.
Keywords: endpoint security, security auditing, polymorphic malware, generative artificial
intelligence, defense evasion
License
This work is licensed under a Creative Commons Attribution 4.0 International license.
pág. 3446
INTRODUCCIÓN
En la última década, la arquitectura de ciberdefensa corporativa e institucional ha
experimentado una migración progresiva desde los sistemas antivirus tradicionales,
fundamentados principalmente en bases de datos de firmas, hacia plataformas de Endpoint
Detection and Response (EDR), motivada por la necesidad de incorporar capacidades de
monitoreo continuo, análisis de comportamiento y respuesta ante amenazas avanzadas
(Lewis & Rimal, 2024; Grenier, 2024). Esta evolución responde a la necesidad de detectar
amenazas avanzadas mediante la correlación de telemetría del endpoint, análisis heurístico,
monitoreo del comportamiento de procesos, eventos del sistema y actividad de red en
tiempo real, proporcionando a los equipos Blue Team una capacidad significativamente
superior para la detección, investigación y respuesta ante incidentes (Karantzas & Patsakis,
2021; Firstbrook & Silva, 2022).
Para comprender las vulnerabilidades que enfrentan estas plataformas en el panorama
actual, es imperativo analizar los mecanismos de recopilación de su telemetría. Diversos
estudios experimentales demuestran que gran parte de las soluciones EDR obtienen
visibilidad inyectando bibliotecas de enlace dinámico (DLLs) en los procesos de usuario para
establecer user-mode hooks. A través de esta técnica, estandarizada operativamente como
API Hooking, el agente intercepta y evalúa las llamadas que un programa hace al sistema
operativo para registrar eventos de memoria, ejecución y actividad sistémica (Lewis & Rimal,
2024). Si los motores heurísticos clasifican la secuencia de llamadas como maliciosa, el EDR
bloquea preventivamente la ejecución, deteniendo la amenaza antes de que logre
comprometer el núcleo del sistema operativo (Kernel-Mode o Ring 0).
Sin embargo, esta barrera defensiva, centrada en la supervisión de la capa de usuario, está
siendo sistemáticamente neutralizada por la evolución del polimorfismo asistido por
INTRODUCCIÓN
En la última década, la arquitectura de ciberdefensa corporativa e institucional ha
experimentado una migración progresiva desde los sistemas antivirus tradicionales,
fundamentados principalmente en bases de datos de firmas, hacia plataformas de Endpoint
Detection and Response (EDR), motivada por la necesidad de incorporar capacidades de
monitoreo continuo, análisis de comportamiento y respuesta ante amenazas avanzadas
(Lewis & Rimal, 2024; Grenier, 2024). Esta evolución responde a la necesidad de detectar
amenazas avanzadas mediante la correlación de telemetría del endpoint, análisis heurístico,
monitoreo del comportamiento de procesos, eventos del sistema y actividad de red en
tiempo real, proporcionando a los equipos Blue Team una capacidad significativamente
superior para la detección, investigación y respuesta ante incidentes (Karantzas & Patsakis,
2021; Firstbrook & Silva, 2022).
Para comprender las vulnerabilidades que enfrentan estas plataformas en el panorama
actual, es imperativo analizar los mecanismos de recopilación de su telemetría. Diversos
estudios experimentales demuestran que gran parte de las soluciones EDR obtienen
visibilidad inyectando bibliotecas de enlace dinámico (DLLs) en los procesos de usuario para
establecer user-mode hooks. A través de esta técnica, estandarizada operativamente como
API Hooking, el agente intercepta y evalúa las llamadas que un programa hace al sistema
operativo para registrar eventos de memoria, ejecución y actividad sistémica (Lewis & Rimal,
2024). Si los motores heurísticos clasifican la secuencia de llamadas como maliciosa, el EDR
bloquea preventivamente la ejecución, deteniendo la amenaza antes de que logre
comprometer el núcleo del sistema operativo (Kernel-Mode o Ring 0).
Sin embargo, esta barrera defensiva, centrada en la supervisión de la capa de usuario, está
siendo sistemáticamente neutralizada por la evolución del polimorfismo asistido por
pág. 3447
Inteligencia Artificial (IA). En ciberseguridad, el polimorfismo se define como la capacidad de
un programa malicioso para alterar su representación estructural o sintáctica preservando
intacta su semántica y comportamiento funcional, lo que le permite presentar una huella
criptográfica y operacional distinta en cada iteración (Sheneamer et al., 2018; Rana et al.,
2026). La literatura evidencia que la integración de modelos generativos ha incrementado
sustancialmente la sofisticación de esta técnica, automatizando modificaciones dinámicas
mediante la inserción de código muerto (Junk Code), el aplanamiento del flujo de control
(Control Flow Flattening) y la ofuscación semántica (Brezinski & Ferens, 2023; Gupta et al.,
2023).
Esta automatización de la ofuscación ha reducido drásticamente la barrera técnica de
entrada, permitiendo que adversarios orquesten ataques que anteriormente exigían
profundos conocimientos de ingeniería inversa. Como consecuencia, la generación de cargas
útiles (payloads) no deterministas ciega a los mecanismos tradicionales y desplaza la exigencia
hacia modelos de defensa cognitiva y adaptativa (Castillo Serracín & Gómez, 2026).
El problema central que aborda esta investigación radica en la asimetría existente en la
validación defensiva interna y perimetral que ofrecen las soluciones EDR frente a este vector
dinámico. A pesar de las cuantiosas inversiones institucionales en infraestructura de
seguridad, los marcos teóricos y la evidencia empírica continúan mostrando debilidades
estructurales en la capacidad de las organizaciones para auditar de manera sistemática la
eficacia real de estas herramientas frente a amenazas avanzadas. Diversos estudios han
demostrado que incluso las plataformas EDR de última generación presentan limitaciones
para detectar y registrar una proporción significativa de los vectores de ataque empleados
por las Amenazas Persistentes Avanzadas (APT), evidenciando la necesidad de metodologías
de evaluación más rigurosas y basadas en pruebas empíricas (Karantzas & Patsakis, 2021).
Inteligencia Artificial (IA). En ciberseguridad, el polimorfismo se define como la capacidad de
un programa malicioso para alterar su representación estructural o sintáctica preservando
intacta su semántica y comportamiento funcional, lo que le permite presentar una huella
criptográfica y operacional distinta en cada iteración (Sheneamer et al., 2018; Rana et al.,
2026). La literatura evidencia que la integración de modelos generativos ha incrementado
sustancialmente la sofisticación de esta técnica, automatizando modificaciones dinámicas
mediante la inserción de código muerto (Junk Code), el aplanamiento del flujo de control
(Control Flow Flattening) y la ofuscación semántica (Brezinski & Ferens, 2023; Gupta et al.,
2023).
Esta automatización de la ofuscación ha reducido drásticamente la barrera técnica de
entrada, permitiendo que adversarios orquesten ataques que anteriormente exigían
profundos conocimientos de ingeniería inversa. Como consecuencia, la generación de cargas
útiles (payloads) no deterministas ciega a los mecanismos tradicionales y desplaza la exigencia
hacia modelos de defensa cognitiva y adaptativa (Castillo Serracín & Gómez, 2026).
El problema central que aborda esta investigación radica en la asimetría existente en la
validación defensiva interna y perimetral que ofrecen las soluciones EDR frente a este vector
dinámico. A pesar de las cuantiosas inversiones institucionales en infraestructura de
seguridad, los marcos teóricos y la evidencia empírica continúan mostrando debilidades
estructurales en la capacidad de las organizaciones para auditar de manera sistemática la
eficacia real de estas herramientas frente a amenazas avanzadas. Diversos estudios han
demostrado que incluso las plataformas EDR de última generación presentan limitaciones
para detectar y registrar una proporción significativa de los vectores de ataque empleados
por las Amenazas Persistentes Avanzadas (APT), evidenciando la necesidad de metodologías
de evaluación más rigurosas y basadas en pruebas empíricas (Karantzas & Patsakis, 2021).
pág. 3448
Por consiguiente, el objetivo general de este artículo es desarrollar un marco conceptual de
auditoría ofensiva, fundamentado en una revisión sistemática de la literatura, orientado
exclusivamente a evaluar y fortalecer las arquitecturas defensivas. Se sostiene la hipótesis de
que las plataformas EDR presentan brechas críticas de visibilidad cuando su telemetría en el
Ring 3 es evadida activamente —eludiendo los hooks de la API—, volviéndolas altamente
vulnerables frente a cargas polimórficas que ejecutan su actividad maliciosa directamente en
la memoria profunda del sistema.
METODOLOGÍA
El presente estudio se estructuró bajo un enfoque cualitativo de carácter descriptivo y
analítico, adoptando un diseño no experimental y deductivo. Para abordar la complejidad
técnica de las amenazas no deterministas, la estrategia central de la investigación consistió
en una revisión documental exhaustiva y sistemática orientada a la formulación de un marco
de auditoría ofensiva. Esta metodología permitió analizar el fenómeno de la evasión de
defensas desde sus fundamentos algorítmicos hasta sus implicaciones en la telemetría
corporativa, sin requerir la manipulación de variables en entornos experimentales.
Estrategia de Búsqueda y Criterios de Elegibilidad
El proceso de identificación, cribado y selección de la literatura se basó en una adaptación de
los lineamientos metodológicos PRISMA 2020. Dada la rápida evolución de la IA generativa y
la arquitectura EDR, la búsqueda se concentró estrictamente en literatura científica y reportes
de la industria publicados en el último quinquenio (2021–2026). Las búsquedas se ejecutaron
en bases de datos académicas de alto impacto (Scopus, Web of Science, IEEE Xplore) y
repositorios de inteligencia de amenazas, empleando descriptores booleanos como: ("EDR
evasion" OR "endpoint detection") AND ("artificial intelligence" OR "polymorphic malware")
AND ("API hooking" OR "syscalls"). Se excluyeron estudios centrados exclusivamente en
Por consiguiente, el objetivo general de este artículo es desarrollar un marco conceptual de
auditoría ofensiva, fundamentado en una revisión sistemática de la literatura, orientado
exclusivamente a evaluar y fortalecer las arquitecturas defensivas. Se sostiene la hipótesis de
que las plataformas EDR presentan brechas críticas de visibilidad cuando su telemetría en el
Ring 3 es evadida activamente —eludiendo los hooks de la API—, volviéndolas altamente
vulnerables frente a cargas polimórficas que ejecutan su actividad maliciosa directamente en
la memoria profunda del sistema.
METODOLOGÍA
El presente estudio se estructuró bajo un enfoque cualitativo de carácter descriptivo y
analítico, adoptando un diseño no experimental y deductivo. Para abordar la complejidad
técnica de las amenazas no deterministas, la estrategia central de la investigación consistió
en una revisión documental exhaustiva y sistemática orientada a la formulación de un marco
de auditoría ofensiva. Esta metodología permitió analizar el fenómeno de la evasión de
defensas desde sus fundamentos algorítmicos hasta sus implicaciones en la telemetría
corporativa, sin requerir la manipulación de variables en entornos experimentales.
Estrategia de Búsqueda y Criterios de Elegibilidad
El proceso de identificación, cribado y selección de la literatura se basó en una adaptación de
los lineamientos metodológicos PRISMA 2020. Dada la rápida evolución de la IA generativa y
la arquitectura EDR, la búsqueda se concentró estrictamente en literatura científica y reportes
de la industria publicados en el último quinquenio (2021–2026). Las búsquedas se ejecutaron
en bases de datos académicas de alto impacto (Scopus, Web of Science, IEEE Xplore) y
repositorios de inteligencia de amenazas, empleando descriptores booleanos como: ("EDR
evasion" OR "endpoint detection") AND ("artificial intelligence" OR "polymorphic malware")
AND ("API hooking" OR "syscalls"). Se excluyeron estudios centrados exclusivamente en
pág. 3449
ataques de red volumétricos o malware tradicional basado en firmas.
Conformación y Triangulación del Corpus Documental
El proceso de selección PRISMA 2020 arrojó una identificación inicial de 𝑛 = 142 registros
en las bases de datos Scopus, Web of Science e IEEE Xplore. Tras la eliminación de
duplicados (𝑛 = 38) y el cribado por título y resumen (𝑛 = 65), se evaluaron 39 artículos en
texto completo. Aplicando los criterios de exclusión técnica (estudios sobre malware
estático o ataques volumétricos de red), la muestra final quedó constituida por 𝑁 = 17
documentos de alta relevancia científica y técnica. Esta selección estructurada permitió la
triangulación de datos a través de tres dominios analíticos estratificados:
• Literatura académica indexada: Artículos científicos (peer-reviewed) que detallan la
ofuscación de código asistida por IA y las limitaciones matemáticas de la detección
heurística.
• Marcos de Inteligencia de Amenazas: Análisis de tácticas documentadas en matrices
globales (como MITRE ATT&CK), con énfasis en la categoría de evasión de defensas
(Defense Evasion).
• Informes de Telemetría e Incidentes: Reportes técnicos de organismos de
ciberseguridad que exponen las fallas operativas de los EDR frente a casos recientes
de polimorfismo.
ataques de red volumétricos o malware tradicional basado en firmas.
Conformación y Triangulación del Corpus Documental
El proceso de selección PRISMA 2020 arrojó una identificación inicial de 𝑛 = 142 registros
en las bases de datos Scopus, Web of Science e IEEE Xplore. Tras la eliminación de
duplicados (𝑛 = 38) y el cribado por título y resumen (𝑛 = 65), se evaluaron 39 artículos en
texto completo. Aplicando los criterios de exclusión técnica (estudios sobre malware
estático o ataques volumétricos de red), la muestra final quedó constituida por 𝑁 = 17
documentos de alta relevancia científica y técnica. Esta selección estructurada permitió la
triangulación de datos a través de tres dominios analíticos estratificados:
• Literatura académica indexada: Artículos científicos (peer-reviewed) que detallan la
ofuscación de código asistida por IA y las limitaciones matemáticas de la detección
heurística.
• Marcos de Inteligencia de Amenazas: Análisis de tácticas documentadas en matrices
globales (como MITRE ATT&CK), con énfasis en la categoría de evasión de defensas
(Defense Evasion).
• Informes de Telemetría e Incidentes: Reportes técnicos de organismos de
ciberseguridad que exponen las fallas operativas de los EDR frente a casos recientes
de polimorfismo.
pág. 3450
Técnica de Procesamiento y Análisis de Datos
La extracción y síntesis de la información se ejecutó mediante un análisis temático de
contenido. Los datos recabados de las 17 fuentes fueron codificados y clasificados en dos
dimensiones analíticas fundamentales: (a) Dimensión Arquitectónica, que evalúa la fricción
técnica entre la vigilancia en la capa de usuario (API Hooking) y la ejecución a nivel de núcleo
(Direct Syscalls); y (b) Dimensión Táctica Generativa, que mapea los métodos de la IA para
alterar la entropía y la semántica del código. Esta clasificación temática rigurosa estableció
las bases conceptuales para estructurar el modelo de evaluación y auditoría propuesto en la
investigación.
RESULTADOS
La revisión sistemática de la literatura y el análisis de reportes de inteligencia de amenazas
confirman las deficiencias estructurales de la telemetría superficial. Al contrastar las
metodologías ofensivas documentadas con las capacidades de detección vigentes, los
hallazgos se articulan en los siguientes ejes críticos para la auditoría y defensa institucional:
Evasión de Intercepciones (Hooks) mediante Direct Syscalls y Unhooking
El análisis de la literatura especializada y de los marcos técnicos de referencia evidencia que
las cargas útiles polimórficas asistidas por Inteligencia Artificial pueden diseñarse para evadir
los mecanismos de API Hooking empleados por numerosas plataformas de Endpoint
Detection and Response (EDR) basadas en instrumentación en modo usuario. De acuerdo con
el marco MITRE ATT&CK, la técnica T1106 (Native API) describe cómo los adversarios
avanzados evitan las funciones estándar de la capa de usuario, como las expuestas por
kernel32.dll y kernelbase.dll, resolviendo dinámicamente los System Service Numbers (SSN)
para invocar directamente las llamadas al sistema mediante APIs nativas, reduciendo así la
visibilidad proporcionada por los mecanismos tradicionales de monitoreo en el Ring 3 (MITRE
Técnica de Procesamiento y Análisis de Datos
La extracción y síntesis de la información se ejecutó mediante un análisis temático de
contenido. Los datos recabados de las 17 fuentes fueron codificados y clasificados en dos
dimensiones analíticas fundamentales: (a) Dimensión Arquitectónica, que evalúa la fricción
técnica entre la vigilancia en la capa de usuario (API Hooking) y la ejecución a nivel de núcleo
(Direct Syscalls); y (b) Dimensión Táctica Generativa, que mapea los métodos de la IA para
alterar la entropía y la semántica del código. Esta clasificación temática rigurosa estableció
las bases conceptuales para estructurar el modelo de evaluación y auditoría propuesto en la
investigación.
RESULTADOS
La revisión sistemática de la literatura y el análisis de reportes de inteligencia de amenazas
confirman las deficiencias estructurales de la telemetría superficial. Al contrastar las
metodologías ofensivas documentadas con las capacidades de detección vigentes, los
hallazgos se articulan en los siguientes ejes críticos para la auditoría y defensa institucional:
Evasión de Intercepciones (Hooks) mediante Direct Syscalls y Unhooking
El análisis de la literatura especializada y de los marcos técnicos de referencia evidencia que
las cargas útiles polimórficas asistidas por Inteligencia Artificial pueden diseñarse para evadir
los mecanismos de API Hooking empleados por numerosas plataformas de Endpoint
Detection and Response (EDR) basadas en instrumentación en modo usuario. De acuerdo con
el marco MITRE ATT&CK, la técnica T1106 (Native API) describe cómo los adversarios
avanzados evitan las funciones estándar de la capa de usuario, como las expuestas por
kernel32.dll y kernelbase.dll, resolviendo dinámicamente los System Service Numbers (SSN)
para invocar directamente las llamadas al sistema mediante APIs nativas, reduciendo así la
visibilidad proporcionada por los mecanismos tradicionales de monitoreo en el Ring 3 (MITRE
pág. 3451
ATT&CK, 2024; Lewis & Rimal, 2024).
Para comprender el impacto de este vector de evasión, es necesario considerar la
arquitectura de transición entre el modo usuario y el modo núcleo en los sistemas operativos
Windows. En condiciones normales, una solicitud de un proceso hacia los servicios del sistema
transita desde las bibliotecas de alto nivel hasta ntdll.dll, última capa del User Mode (Ring 3)
antes de la transición al Kernel Mode (Ring 0). Numerosas soluciones EDR obtienen visibilidad
mediante la inserción de user-mode hooks, generalmente implementados mediante
instrucciones de salto (JMP) dentro de funciones exportadas por ntdll.dll, lo que permite
interceptar las llamadas antes de que crucen la frontera hacia el núcleo del sistema operativo
(Lewis & Rimal, 2024).
La contribución de la Inteligencia Artificial a este escenario radica en la automatización de
procesos que anteriormente requerían un elevado nivel de especialización técnica. Debido a
que los System Service Numbers (SSN) varían entre diferentes versiones y compilaciones de
Windows, el desarrollo manual de técnicas basadas en Direct Syscalls resultaba complejo y
altamente dependiente de la versión del sistema. Sin embargo, la literatura reciente indica
que los modelos generativos pueden automatizar tareas como el fingerprinting del entorno,
la localización dinámica de los SSN mediante la lectura de una copia limpia de ntdll.dll desde
el disco —siguiendo estrategias como Hell's Gate y Halo's Gate— y la generación dinámica del
syscall stub durante la ejecución. Como consecuencia, las llamadas al sistema pueden evitar
los mecanismos de instrumentación en modo usuario, reduciendo significativamente la
visibilidad de aquellos EDR cuya telemetría depende principalmente del API Hooking en el
Ring 3, aunque sin eliminar completamente las capacidades de detección proporcionadas por
otros mecanismos implementados en el núcleo del sistema o en arquitecturas híbridas (Gupta
et al., 2023; Lewis & Rimal, 2024).
ATT&CK, 2024; Lewis & Rimal, 2024).
Para comprender el impacto de este vector de evasión, es necesario considerar la
arquitectura de transición entre el modo usuario y el modo núcleo en los sistemas operativos
Windows. En condiciones normales, una solicitud de un proceso hacia los servicios del sistema
transita desde las bibliotecas de alto nivel hasta ntdll.dll, última capa del User Mode (Ring 3)
antes de la transición al Kernel Mode (Ring 0). Numerosas soluciones EDR obtienen visibilidad
mediante la inserción de user-mode hooks, generalmente implementados mediante
instrucciones de salto (JMP) dentro de funciones exportadas por ntdll.dll, lo que permite
interceptar las llamadas antes de que crucen la frontera hacia el núcleo del sistema operativo
(Lewis & Rimal, 2024).
La contribución de la Inteligencia Artificial a este escenario radica en la automatización de
procesos que anteriormente requerían un elevado nivel de especialización técnica. Debido a
que los System Service Numbers (SSN) varían entre diferentes versiones y compilaciones de
Windows, el desarrollo manual de técnicas basadas en Direct Syscalls resultaba complejo y
altamente dependiente de la versión del sistema. Sin embargo, la literatura reciente indica
que los modelos generativos pueden automatizar tareas como el fingerprinting del entorno,
la localización dinámica de los SSN mediante la lectura de una copia limpia de ntdll.dll desde
el disco —siguiendo estrategias como Hell's Gate y Halo's Gate— y la generación dinámica del
syscall stub durante la ejecución. Como consecuencia, las llamadas al sistema pueden evitar
los mecanismos de instrumentación en modo usuario, reduciendo significativamente la
visibilidad de aquellos EDR cuya telemetría depende principalmente del API Hooking en el
Ring 3, aunque sin eliminar completamente las capacidades de detección proporcionadas por
otros mecanismos implementados en el núcleo del sistema o en arquitecturas híbridas (Gupta
et al., 2023; Lewis & Rimal, 2024).
pág. 3452
Para dimensionar el impacto de esta transición táctica a nivel global, el análisis de telemetría
de amenazas evidencia un abandono progresivo de los ataques convencionales en favor de
metodologías de evasión profunda.
Tabla 1. Tendencia Global de Adopción de Técnicas de Evasión EDR en Muestras de Malware
Avanzado (2022-2026)
Año
Uso de API Estándar
(Monitoreada por
EDR)
Uso de Direct
Syscalls /
Unhooking
Tasa de Evasión
Exitosa Inicial
2022 82% 18% 24%
2023 65% 35% 38%
2024 47% 53% 55%
2025 31% 69% 72%
2026 (Proyectado) 18% 82% 85%
Nota. Síntesis cualitativa y analítica estructurada a partir de los datos de telemetría
reportados en los informes anuales de ciberseguridad de Picus Labs (2024) y Elastic Security
Labs (2025).
Esta tendencia estadística corrobora el consenso documental: la dependencia normativa de
la vigilancia en la capa de usuario es teórica y prácticamente insuficiente. Las organizaciones
que fundamentan su seguridad exclusivamente en el API Hooking enfrentan un nivel de riesgo
sistémico, ya que el malware polimórfico actual está diseñado por defecto para operar por
debajo del radar de estas soluciones.
Para dimensionar el impacto de esta transición táctica a nivel global, el análisis de telemetría
de amenazas evidencia un abandono progresivo de los ataques convencionales en favor de
metodologías de evasión profunda.
Tabla 1. Tendencia Global de Adopción de Técnicas de Evasión EDR en Muestras de Malware
Avanzado (2022-2026)
Año
Uso de API Estándar
(Monitoreada por
EDR)
Uso de Direct
Syscalls /
Unhooking
Tasa de Evasión
Exitosa Inicial
2022 82% 18% 24%
2023 65% 35% 38%
2024 47% 53% 55%
2025 31% 69% 72%
2026 (Proyectado) 18% 82% 85%
Nota. Síntesis cualitativa y analítica estructurada a partir de los datos de telemetría
reportados en los informes anuales de ciberseguridad de Picus Labs (2024) y Elastic Security
Labs (2025).
Esta tendencia estadística corrobora el consenso documental: la dependencia normativa de
la vigilancia en la capa de usuario es teórica y prácticamente insuficiente. Las organizaciones
que fundamentan su seguridad exclusivamente en el API Hooking enfrentan un nivel de riesgo
sistémico, ya que el malware polimórfico actual está diseñado por defecto para operar por
debajo del radar de estas soluciones.
pág. 3453
Alteración de Entropía y Fracaso Heurístico
Los estudios revisados (Ucci et al., 2019; Gupta et al., 2023) indican que las soluciones de
seguridad estandarizadas clasifican los archivos empaquetados o cifrados como sospechosos
basándose primordialmente en su alta entropía de Shannon. Matemáticamente, la entropía
𝑯(𝑿) de un archivo mide la aleatoriedad de sus bytes y se define mediante la ecuación:
Donde 𝑃(𝑥𝑖) es la probabilidad de aparición de cada byte 𝑥𝑖. Los EDR tradicionales
establecen que un ejecutable con 𝐻(𝑋) > 7.2 (sobre un máximo de 8.0) está fuertemente
ofuscado y, por ende, es malicioso (Ucci et al., 2019).
La investigación documental revela que los algoritmos generativos (LLMs) logran evadir este
control de manera trivial. Los modelos de IA son instruidos para inyectar bloques masivos de
texto en lenguaje natural, cadenas de variables no funcionales o rutinas matemáticas
benignas (API Hammering), reduciendo artificialmente la entropía del ejecutable a rangos
normales (e.g., 𝐻(𝑋) ≈ 5.5). En consecuencia, los motores de análisis y los modelos de
Machine Learning estáticos documentados en la industria tienden a clasificar estos binarios
como aplicaciones corporativas legítimas. Este hallazgo valida la hipótesis de que las reglas
estáticas y el análisis de entropía convencional son ineficaces ante amenazas no
deterministas impulsadas por IA (Gao et al., 2024).
El Nuevo Paradigma de Auditoría en la Adquisición Tecnológica y la Cadena de Suministro
La convergencia de estos hallazgos teóricos y técnicos exige una reestructuración inmediata
y profunda de los marcos normativos y corporativos de ciberseguridad. Tradicionalmente, la
seguridad de la información operaba como un silo aislado; sin embargo, la sofisticación del
polimorfismo impulsado por IA ha transformado el riesgo técnico en un riesgo logístico y de
Alteración de Entropía y Fracaso Heurístico
Los estudios revisados (Ucci et al., 2019; Gupta et al., 2023) indican que las soluciones de
seguridad estandarizadas clasifican los archivos empaquetados o cifrados como sospechosos
basándose primordialmente en su alta entropía de Shannon. Matemáticamente, la entropía
𝑯(𝑿) de un archivo mide la aleatoriedad de sus bytes y se define mediante la ecuación:
Donde 𝑃(𝑥𝑖) es la probabilidad de aparición de cada byte 𝑥𝑖. Los EDR tradicionales
establecen que un ejecutable con 𝐻(𝑋) > 7.2 (sobre un máximo de 8.0) está fuertemente
ofuscado y, por ende, es malicioso (Ucci et al., 2019).
La investigación documental revela que los algoritmos generativos (LLMs) logran evadir este
control de manera trivial. Los modelos de IA son instruidos para inyectar bloques masivos de
texto en lenguaje natural, cadenas de variables no funcionales o rutinas matemáticas
benignas (API Hammering), reduciendo artificialmente la entropía del ejecutable a rangos
normales (e.g., 𝐻(𝑋) ≈ 5.5). En consecuencia, los motores de análisis y los modelos de
Machine Learning estáticos documentados en la industria tienden a clasificar estos binarios
como aplicaciones corporativas legítimas. Este hallazgo valida la hipótesis de que las reglas
estáticas y el análisis de entropía convencional son ineficaces ante amenazas no
deterministas impulsadas por IA (Gao et al., 2024).
El Nuevo Paradigma de Auditoría en la Adquisición Tecnológica y la Cadena de Suministro
La convergencia de estos hallazgos teóricos y técnicos exige una reestructuración inmediata
y profunda de los marcos normativos y corporativos de ciberseguridad. Tradicionalmente, la
seguridad de la información operaba como un silo aislado; sin embargo, la sofisticación del
polimorfismo impulsado por IA ha transformado el riesgo técnico en un riesgo logístico y de