Informe jurídico sobre PromptLock: ransomware creado con IA (alerta grave )

 

🧠 Informe jurídico sobre PromptLock: ransomware creado con IA

Autor: Santiago Carretero Sánchez, Jurista y Profesor universitario
Fecha: Septiembre de 2025

1. Introducción

El descubrimiento de PromptLock por ESET (agosto-septiembre de 2025) marca un hito en la evolución del cibercrimen: es el primer ransomware documentado diseñado con apoyo directo de un modelo de inteligencia artificial generativa. Aunque aún es una prueba de concepto, plantea riesgos jurídicos inmediatos en materia penal, civil y de ciberseguridad regulatoria.

2. Hechos relevantes

Característica	Detalle técnico
Modelo usado	GPT-OSS-20B local vía API Ollama
Lenguaje de scripting	Lua
Autonomía	No requiere conexión a Internet
Funciones	Cifrado Speck (128 bits), exfiltración, enumeración del sistema
Mutabilidad	Polimorfismo en cada ejecución
Estado actual	Prototipo viable, no desplegado en ataques reales

3. Problemas jurídicos principales

A) Derecho penal

• Tipificación penal: Art. 264 bis CP → programas informáticos destinados a causar daños.
• Autoría y responsabilidad:
  • Operador que introduce los prompts maliciosos → autor directo.
  • Desarrollador del script o malware → cooperador necesario.
  • Desarrollador del modelo de IA → responsabilidad penal solo si hay dolo o negligencia grave.

B) Derecho civil

• Responsabilidad por daños: Art. 1902 CC → víctimas pueden reclamar frente a operadores y difusores.
• Proveedores de IA: El Reglamento de IA excluye usos maliciosos, pero no establece aún un régimen claro de responsabilidad civil.

C) Derecho europeo y ciberseguridad

• Directiva NIS2 (2022/2555): Obliga a sectores esenciales a prevenir ransomware, pero no contempla los LLM maliciosos.
• Reglamento de IA (2024): PromptLock encaja en el “uso prohibido” (art. 5), pero requiere desarrollo reglamentario.

4. Riesgos jurídicos inmediatos

• Dificultad probatoria: Código generado “al vuelo” → complica la cadena de custodia digital.
• Autoría intelectual difusa: ¿Responsable el diseñador del prompt, el ejecutor del modelo o ambos?
• Lagunas normativas: En la responsabilidad de desarrolladores de modelos open-source reutilizados con fines criminales.

5. Recomendaciones jurídicas y preventivas

Propuesta	Justificación
Reforma del Código Penal	Incluir explícitamente la generación de malware mediante IA
Responsabilidad objetiva limitada	Para desarrolladores de modelos open-source sin controles mínimos
Protocolos probatorios adaptados	Hash dinámicos, auditoría en ejecución
Cooperación internacional	Eurojust y Europol para armonizar persecución penal
Formación jurídica especializada	Integrar ciberseguridad e IA en planes docentes universitarios

6. Conclusión

PromptLock inaugura la era del ransomware generativo. Aunque no ha causado daños reales, exige una respuesta jurídica preventiva e inmediata. España y la UE deben actuar con rapidez para:

• Tipificar claramente las conductas ligadas al malware generado por IA.
• Atribuir responsabilidades en un ecosistema descentralizado.
• Reforzar los mecanismos probatorios en la persecución de ciberdelitos moldeados por IA.

⚠️ El riesgo no es hipotético: el tiempo de reacción legislativa debe ser corto para evitar que un prototipo se convierta en una catástrofe real.

Documento preparado para el blog blogdelaiaactual.blogspot.com