Se suponía que sería el “mes de concienciación sobre la ciberseguridad”. Los expertos ahora lo llaman “Octubre Negro”. En las últimas semanas, el flujo normal de ataques informáticos y fallos que los ingenieros deben contener constantemente se ha convertido en un torrente. La causa es la inteligencia artificial, que ha potenciado enormemente la mala conducta cibernética. Los modelos de IA de código abierto han permitido a los atacantes operar con una eficiencia, competencia y persistencia inhumanas. Como resultado, en días han quedado expuestos fallos críticos equivalentes a años de vulnerabilidades.
Esos fallos van de lo impactante a lo ridículo. Los ingenieros se han apresurado a corregir una vulnerabilidad en PHP, un lenguaje de programación ampliamente utilizado, que permitía a los atacantes tomar el control de cualquier computadora que lo utilizara. Congeladores de supermercados de toda Europa se apagaron siguiendo las instrucciones de ciberdelincuentes. Y se reveló que un certificado crucial de seguridad de internet tenía una clave privada de “4″, cuando debería haber tenido cien dígitos. Nadie sabe qué fallos podrían haber sido descubiertos y explotados en privado.
Estos acontecimientos han sido aleccionadores para los numerosos comentaristas, incluido este periódico, que esperaban que la perturbación causada por la IA en la ciberseguridad fuera de corta duración y que la propia tecnología ayudara más a quienes defienden los sistemas digitales de lo que facultaría a los delincuentes. Esas esperanzas se están desvaneciendo. En cambio, la infraestructura digital de la que depende la vida moderna parece cada vez más vulnerable a la IA. Se necesitan medidas urgentes para defenderla.
¿Por qué están teniendo dificultades los defensores? La primera razón es que muchos de ellos no cuentan con las herramientas más avanzadas. En abril, Anthropic, un destacado creador de modelos, lanzó “Project Glasswing”, un club solo por invitación con acceso a todas las capacidades cibernéticas de sus modelos de vanguardia. Su intención original era ampliar ampliamente la membresía. OpenAI lanzó un programa similar con la promesa de democratizar el acceso a sus herramientas.
Sin embargo, el acceso a una IA poderosa se ha convertido en una cuestión geopolítica. Ambos creadores de modelos necesitan ahora la aprobación del gobierno federal estadounidense antes de admitir nuevos miembros en sus clubes, por lo que ampliarlos se ha convertido en un doloroso proceso político. Mientras tanto, quienes están fuera de las puertas deben defenderse con las mismas herramientas de código abierto que impulsan los ataques. Algunos están atrapados en una tierra de nadie: incapaces de acceder a la tecnología estadounidense, pero también temerosos de utilizar alternativas chinas.
El segundo problema es que, cuando la IA se utiliza de forma benigna, crea un problema de fuego amigo. En el momento en que se publica un “parche” para una vulnerabilidad recién identificada, los modelos de IA de los hackers pueden examinarlo. Esto puede revelar exactamente cuál era la debilidad y cómo explotarla en sistemas que aún no han sido corregidos. Si los defensores tienen realmente mala suerte —como ocurrió con PHP—, el parche puede filtrarse antes de ser publicado para que los defensores lo utilicen para corregir su código. Los atacantes pueden entonces actuar contra sistemas que siguen indefensos.
Un último problema es que los atacantes pueden explotar vulnerabilidades prosaicas con mayor rapidez y a una escala mayor. La ciberseguridad no consiste solo en disponer, en teoría, de sistemas sólidos, sino en evitar la negligencia en la práctica. Por desgracia, la IA ha facilitado la explotación de la imprudencia humana sin hacer más prudentes a los usuarios de computadoras. Un refrigerador conectado a internet que ejecuta software desactualizado o utiliza una contraseña predeterminada ha sido un riesgo de seguridad durante décadas. Sin embargo, solo ahora los atacantes han descubierto que es tan fácil automatizar la búsqueda y la explotación de puntos débiles, ejecutando miles de ataques en paralelo.
Las empresas y los gobiernos deben actuar con decisión frente a estas amenazas. Generar un desequilibrio en el armamento cibernético es crucial. Con una potencia de fuego igualada, los defensores dependen de una estrecha ventaja natural: solo deben encontrar y corregir vulnerabilidades individuales, problemas aislados que en teoría podrían ayudar a crear una brecha. Los atacantes, por lo general, necesitan conocer toda una cadena de esas vulnerabilidades para penetrar en un sistema.
Ahora que los ataques impulsados por IA están proliferando, esta ventaja es demasiado estrecha. Los defensores necesitan un arsenal más amplio. El gobierno estadounidense debería adoptar una actitud más permisiva respecto de la membresía en programas de ciberdefensa o, al menos, aprobar con mayor rapidez a los nuevos integrantes. También sería mejor que las capacidades de los atacantes quedaran más rezagadas respecto de la frontera tecnológica. El gobierno chino ha reconocido la insensatez de distribuir potentes armas cibernéticas a todos y exige a los laboratorios que limiten el potencial destructivo de los sistemas recién lanzados.
Las organizaciones que todavía no utilizan constantemente la IA para detectar y cerrar brechas de seguridad se han quedado atrás y deben ponerse al día. Algunas entidades necesitan más ayuda. En Estados Unidos, iniciativas como el “Project Watershed 250″ de Texas están canalizando recursos hacia proveedores de infraestructura para ayudar con lo básico. Esos esfuerzos deberían ampliarse. Con el tiempo, la industria del software podría ser capaz de verificar formalmente parte del código y demostrar así que es imposible de hackear, del mismo modo que un matemático demuestra un teorema.
El comercio, la infraestructura y las relaciones humanas han llegado a depender de la premisa de que internet es seguro. Una pérdida repentina de ciberseguridad supondría, por tanto, una grave amenaza para la sociedad. La concienciación sobre la ciberseguridad ha aumentado durante el último mes. Deben seguirle medidas.
© 2026, The Economist Newspaper Limited. All rights reserved.
Fuente: Infobae — Ver noticia original