Google ha desplegado oficialmente agentes de inteligencia artificial Gemini dentro de Google Threat Intelligence para monitorear de forma autónoma foros de la dark web en vista previa pública. Estos agentes procesan millones de publicaciones diarias, utilizando perfiles organizacionales avanzados para detectar riesgos de seguridad específicos como filtraciones de datos y brokers de acceso inicial. El monitoreo tradicional de la dark web depende en gran medida de expresiones regulares y raspado de palabras clave estáticas

Los agentes procesan millones de publicaciones diarias, utilizando perfiles organizacionales avanzados para detectar riesgos de seguridad específicos como filtraciones de datos y brokers de acceso inicial. El monitoreo tradicional de la dark web depende en gran medida de regex y el scraping estático de palabras clave, lo que suele generar una tasa de falsos positivos del 80 al 90% para los equipos de inteligencia de amenazas. Para superar esta limitación, los agentes Gemini de Google ingieren inteligencia de fuentes abiertas y datos proporcionados por los usuarios para construir un perfil completo de los VIPs, marcas y pila tecnológica de una organización. La IA luego aplica comparaciones vectoriales para mapear afirmaciones ambiguas de la dark web directamente a este perfil, reduciendo drásticamente el ruido no accionable. Gemini puede procesar 8 a 10 millones de eventos de la dark web cada día gracias a su telemetría a gran escala. Los cazadores de amenazas de Google descubrieron en pruebas internas que el sistema analiza estos eventos con un 98% de precisión. Brandon Wood, gerente de producto de Threat Intelligence en Google, lo confirmó a The Register. El motor de inteligencia identifica específicamente riesgos de alta severidad como amenazas internas, actividad de brokers de acceso inicial y filtraciones de datos no verificadas antes de que escalen.

Comparación de Identificación de Amenazas

Característica	Monitoreo Tradicional de la Dark Web	Gemini Threat Intelligence
Mecanismo de Detección	Scraping estático de palabras clave y reglas regex	Comparación vectorial de LLM y perfilado contextual
Tasa de Falsos Positivos	80% a 90%	Ruido reducido con 98% de precisión
Contexto de la Amenaza	Coincidencias aisladas de palabras clave	Correlacionado con activos empresariales específicos y VIPs

 

Cuando un actor de amenazas publica en un foro de la dark web vendiendo acceso a una organización norteamericana con 50 mil millones de dólares en activos, las herramientas tradicionales suelen perder la conexión si se omite el nombre de la empresa. Los modelos de lenguaje de Gemini cruzan automáticamente estas afirmaciones financieras y demográficas ambiguas con los perfiles empresariales establecidos. Al establecer estas conexiones contextuales, el sistema marca al instante la publicación como una amenaza de alta severidad para la organización objetivo. Más allá del monitoreo pasivo, el módulo de inteligencia de la dark web correlaciona sus hallazgos con datos del Google Threat Intelligence Group, que rastrea activamente 627 grupos de amenazas distintos. Google también ha introducido agentes de IA autónomos dentro de Google Security Operations para gestionar flujos de trabajo de triaje e investigación. Estos agentes secundarios recopilan de forma autónoma evidencia forense y proporcionan veredictos estructurados sobre alertas, minimizando la carga manual para los analistas de seguridad. El despliegue de grandes modelos de lenguaje para procesar foros maliciosos introduce posibles preocupaciones de seguridad operativa, lo que lleva a Google a restringir cuidadosamente cómo interactúan los datos de los clientes con la herramienta. Los modelos se basan exclusivamente en información disponible públicamente y en el contexto específico autorizado por los equipos de seguridad dentro de la plataforma. Al proporcionar citas para todos los datos de fuentes abiertas utilizados en el perfilado, Google busca reducir la naturaleza de "caja negra" de los LLM y mantener la transparencia. La introducción de agentes de IA defensivos coincide con informes recientes que confirman que actores de amenazas respaldados por estados están utilizando activamente Gemini para acelerar sus propias operaciones cibernéticas. Los atacantes están integrando IA en las fases previas a la intrusión del ciclo de vida del ataque para reconocimiento, análisis de objetivos y desarrollo de malware. El despliegue de herramientas de monitoreo con IA altamente precisas se ha convertido en una contramedida necesaria para detectar estas campañas de ataque a velocidad de máquina antes de lograr el acceso inicial. 

Fuentes:
https://cybersecuritynews.com/google-gemini-ai-dark-web/