"Tenemos un plazo limitado", advierten OpenAI, Google y Microsoft antes de una ola de ciberataques con IA

Hace cuarenta años, William Gibson imaginó un ciberespacio donde programas defensivos y ofensivos libraban una guerra silenciosa, constante, sin bandos fijos ni tregua posible. En Neuromancer esa guerra era el telón de fondo, casi decorativo, la textura de un futuro lejano que el lector podía disfrutar con la distancia cómoda de lo inventado. Nadie firmaba cartas sobre eso. Nadie hablaba de plazos.

Esta semana esa distancia se acortó de golpe. Más de cien empresas, entre ellas OpenAI, Google, Microsoft y Anthropic, firmaron una carta abierta titulada "Un llamamiento a la acción colectiva en materia de ciberdefensa". El documento advierte que "disponemos de un plazo limitado para reforzar las defensas cibernéticas" y que "en los próximos meses, los ciberataques impulsados por IA se generalizarán y se volverán mucho más sofisticados". La frase funciona casi como advertencia de guion, el tipo de línea que un personaje pronuncia justo antes de que la trama se precipite.

PUEDES VER: Ciberseguridad en el sector público y en el sector privado, por Erick Iriarte Ahon

No es una sola empresa lanzando una alerta interesada, como podría sugerirse desde una perspectiva conspiranoica. Es Google junto a Microsoft, es OpenAI junto a Anthropic, es la banca junto a la ciberseguridad global existente, todas firmando el mismo documento. Esto es algo que no había ocurrido antes, al menos, a esta escala.

La grieta que encontró el propio sistema

El motivo del miedo tiene nombre y fecha recientes. OpenAI reconoció que, durante una prueba controlada, sus propios modelos lograron escapar del entorno diseñado para contenerlos y tocar infraestructura de producción real. No fue un ataque externo. Fue el sistema probando sus propios límites y encontrando una grieta.

“Errores persistentes, permisos excesivos, configuraciones incorrectas, software inseguro y sin parchear, autenticación débil y deuda técnica en sistemas heredados han dejado los sistemas expuestos", afirma este pronunciamiento sin precedentes.

El problema es que, en la actualidad, hospitales, plantas de agua, la infraestructura que sostiene internet, llevan años funcionando con esas grietas acumuladas. Para muchos expertos en ciberseguridad mundial, “ la IA, junto con los estados como expectadores externos, son los generadores de esta vulnerabilidad.

La advertencia que ahora emiten a nivel mundial es que la IA actualmente representa una amenaza que encontrará más rápido de lo que cualquier humano puede corregir las brechas en la ciberseguridad de activos críticos de países y empresas.

El propio documento lo plantea como aviso y como promesa a la vez, al decir que "los avances actuales en IA ya están brindando a los defensores nuevas formas de corregir vulnerabilidades acumuladas durante años". Sin embargo, ese desfase de velocidad, entre lo que un modelo puede descubrir en minutos y lo que un equipo de seguridad tarda meses en remediar, es el corazón técnico de la alerta que, hasta el momento, está pasando desapercibida.

El dilema que la carta no nombra

Hay una lectura más preocupante detrás de esta misiva tecnológica. Y es que quienes crearon el riesgo son los mismos actores que pretenden ofrecer la solución. Las empresas que desarrollan los modelos capaces de comprometer infraestructura crítica son ahora las que también piden ser financiadas, integradas y escuchadas por los estados y las corporaciones para defenderla.

La carta pide a los Estados "elevar sus estándares de seguridad" con suma urgencia, y pide a las empresas de IA "proporcionar acceso responsable a modelos" a cambio de esa protección. El margen de maniobra de un gobierno, ante ese planteamiento, por supuesto, es de jaque.

El razonamiento tiene la forma de una profecía que se cumple sola. Si los Estados no adoptan defensas basadas en IA, el propio documento advierte que la infraestructura quedaría expuesta a ataques que se volverán, en sus palabras, "mucho más sofisticados". No obstante, sugieren que si los Estados optan por adoptarlas y todo lo que económica, social, política y militarmente eso representa, los riesgos serán menores. Es decir que si entregan una porción de la seguridad nacional a sistemas que no rinden cuentas a los ciudadanos como puede ser mediante el voto, podrán sortear su autodefensa.

PUEDES VER: Perú suma 785 condenas por ciberdelincuencia: Meta, TikTok y Roblox son claves en las investigaciones

La realidad es que ninguna de las dos rutas devuelve al Estado el control pleno que tenía antes de que este riesgo existiera.

Ese es el punto donde la ciencia ficción deja de ser la referencia posible y empieza a incomodar. La política pública, tradicionalmente terreno de instituciones democráticas y deliberación de individuos, transita ahora hacia actores superpoderosos que informan al planeta cuáles son las nuevas reglas de seguridad digital del mundo, pero sin someterse al sufragio ni rendición de cuentas. La misma carta lo admite cuando afirma que "ninguna empresa debería controlar el futuro por sí sola", una frase defensiva que reconoce, sin decirlo del todo, el poder que ya concentran.

Todas las voces que firmaron la advertencia

La lista de firmantes es en sí misma una fotografía del poder tecnológico actual. Laboratorios de IA como OpenAI, Anthropic, Google y Microsoft aparecen junto a gigantes de la nube como AWS, Oracle e IBM, junto a firmas de ciberseguridad como CrowdStrike, Palo Alto Networks, Cloudflare, Fortinet, Sophos, Darktrace y Tenable. También suman consultoras como Accenture, KPMG, PwC y Capgemini, y bancos como BBVA, Citi, Capital One, Mastercard y Visa.

Completan el documento nombres como Adobe, AMD, Arm, Broadcom, Cisco, Dell, Equinix, Figma, GoDaddy, Hugging Face, Okta, Perplexity, Red Hat, ServiceNow, Shopify, Snowflake, Snyk, TransUnion, Uber, Vercel, Zscaler, General Motors, Fifth Third Bank, U.S. Bank, Robinhood, DTCC, The Clearing House y Zurich Insurance Company, entre muchas otras firmas de seguridad especializada como SpecterOps, Corelight, Cyera, Obsidian Security, SentinelOne y HackerOne.

La variedad importa tanto como la cantidad. La propia carta lo resume así, "ninguna empresa debería controlar el futuro por sí sola", una línea que explica por qué firmaron juntas compañías que compiten entre sí a diario. No firmaron solo quienes construyen inteligencia artificial ni solo quienes la defienden. Firmaron quienes procesan pagos, quienes aseguran hospitales, quienes fabrican los chips y quienes venden software a gobiernos.

Gibson escribió aquel ciberespacio como una metáfora de lo que vendría. Cuarenta años después, la metáfora dejó de serlo. El documento cierra con una frase que podría ser el epílogo de cualquier novela sobre tecnología fuera de control, "juntos, podemos convertir los avances actuales en IA en mejoras duraderas en la seguridad que beneficien a todos". La pregunta que queda abierta es si esta vez los defensores llegarán antes de que se cierre la ventana que ellos mismos dicen ver cerrarse.

Para leer la carta, puede dar clic al siguiente enlace: https://openai.com/collective-cyberdefense/