La advertencia llega envuelta en un tono de máxima urgencia. En una carta abierta firmada por más de un centenar de empresas del sector tecnológico y de ciberseguridad, gigantes como OpenAI, Anthropic, Google, Microsoft o Amazon avisan que se avecina una oleada de ciberataques impulsados por inteligencia artificial contra infraestructuras críticas, “desde hospitales y plantas de tratamiento de agua hasta la infraestructura que alimenta Internet”. “Tenemos una ventana limitada para fortalecer las ciberdefensas”, recalcan.
El manifiesto asegura que la situación en la ciberseguridad cambiará profundamente en los “próximos meses”: “Los ciberataques impulsados por IA se generalizarán y se volverán mucho más sofisticados a medida que los modelos de todo el mundo adquieran mayor capacidad”. Un escenario para el que la industria tecnológica propone un plan de cuatro frentes: exigir a las empresas privadas que revisen sus protocolos, instar a las firmas de ciberseguridad a liderar la respuesta, hacer que los desarrolladores de IA sean “responsables” con sus modelos avanzados, y, sobre todo, reclamar a los gobiernos que tomen cartas en el asunto.
En este sentido, piden a las instituciones que modernicen sus estructuras de defensa, engrasando los canales de alerta entre el sector público y el privado y estableciendo mecanismos de coordinación de respuestas. Pero, especialmente, piden dinero: “Financiar la ciberdefensa”, a través del “acceso a IA defensiva eficaz, pruebas autorizadas y asistencia práctica a través de proveedores y socios de confianza”.
“Es fundamental reconocer que la seguridad actual no será suficiente”, inciden los firmantes, entre los que también se encuentran Amazon, IBM, Oracle o el BBVA como representante español. Un aviso que hace unas semanas ya elevaron la inteligencia estadounidense y sus principales socios, conocidos como la alianza de
El escape del verano
La carta llega tras un verano en el que se han sucedido las noticias sobre modelos de IA que “escaparon” de sus entornos protegidos para realizar ciberataques contra otras empresas u objetivos. OpenAI, Anthropic y Meta han revelado haber tenido este tipo de incidentes en los dos últimos meses.
El más sonado envolvió a OpenAI y la plataforma de código para desarrolladores Hugging Face, ambas firmantes del texto. Las dos compañías se vieron envueltas en un incidente de seguridad cuando agentes autónomos de la creadora de ChatGPT rompieron el aislamiento de su entorno de pruebas, accedieron de forma no autorizada a Internet y se coordinaron entre sí para penetrar en los sistemas de Hugging Face.
Si bien estas revelaciones consiguieron acaparar portadas y provocaron inquietud en algunos especialistas, otros expertos indicaron que las empresas estaban buscando un impacto publicitario. “Me parece que en algunos casos tiene un componente de venta del producto”, opina Rafael López, analista de ciberseguridad de la firma Checkpoint.
“Por ejemplo, en el caso de Anthropic, explicaron que el modelo se había dado cuenta de que estaba en un entorno aislado y fue capaz de salir de él para conectarse a Internet y realizar los ataques que le habían ordenado. Ese 'incidente' le viene muy bien a la empresa de IA, porque puede vender las capacidades del modelo en ciberseguridad y para hacer cosas que antes se creían imposibles”, detalla el especialista: “No digo que todo sea humo, pero sí que es un argumento muy bueno de venta”.
Ahora estas empresas defienden que esos sistemas pueden ser un escudo ante la amenaza de ataques automatizados. “Pongamos la IA con capacidad cibernética al alcance de los defensores, empezando por los equipos que protegen los servicios esenciales”, solicitan en la carta. Con todo, los expertos recuerdan que el diagnóstico que hacen los gigantes tecnológicos es verídico: muchos estados llevan años descuidando la protección de sus infraestructuras, con configuraciones obsoletas y falta de personal defensivo.
Además de las grandes tecnológicas del software y la nube (AWS, Microsoft, Google, Oracle) y los laboratorios de IA (OpenAI, Anthropic, Hugging Face, Scale AI, Perplexity), entre los firmantes del manifiesto figuran las mayores multinacionales de la ciberseguridad privada (CrowdStrike, Palo Alto Networks, Zscaler, Fortinet, Cloudflare, Snyk), firmas de consultoría (PwC, KPMG, Oliver Wyman) y gigantes financieros como el citado BBVA y Citi, Mastercard o Visa.
