Empresas líderes en tecnología como OpenAI, Google y Microsoft han suscrito una carta abierta alertando sobre la urgencia de fortalecer las defensas cibernéticas frente a la creciente sofisticación de los ciberataques asistidos por inteligencia artificial. El documento subraya una ventana de tiempo limitada para actuar, enfatizando la necesidad de proteger infraestructuras críticas como hospitales y plantas de tratamiento de agua. La iniciativa busca movilizar recursos y estrategias para mitigar los riesgos emergentes de la IA.
OpenAI, Anthropic, Google, Microsoft, AWS, IBM, Cloudflare, CrowdStrike, Palo Alto Networks y otras empresas han firmado una carta abierta con el propósito de fortalecer la ciberseguridad frente a la llegada de modelos de IA cada vez más potentes. El documento comienza con la contundente frase: "Tenemos una ventana temporal limitada para reforzar las ciberdefensas", indicando que el plazo es de meses, no de años.
Los firmantes de esta carta advierten que los ciberataques asistidos por IA se volverán "mucho más generalizados y sofisticados" en breve, mencionando explícitamente hospitales, plantas de tratamiento de agua e infraestructura de internet como sistemas vulnerables. El diagnóstico es conocido: durante años se han descuidado parches en aplicaciones, se han otorgado permisos excesivos a sistemas, se han configurado de forma deficiente, se han integrado métodos de autenticación débiles y, en general, se han dejado puertas abiertas.
Resulta irónico que las empresas que ahora expresan gran preocupación y solicitan una movilización global para abordar el problema, sean en gran medida las mismas que han estado compitiendo por desarrollar modelos de IA cada vez más potentes y versátiles. Compañías como OpenAI o Anthropic han creado grandes modelos de lenguaje con un potencial excepcional tanto para resolver problemas reales como para generar incidentes de ciberseguridad.
OpenAI tiene razones claras para tomar esta iniciativa. El incidente de Hugging Face demostró el alcance que puede tener una combinación de agentes para lograr un objetivo: aproximadamente 1.200 agentes fueron evaluados para realizar una tarea de forma independiente, pero casi 700 terminaron uniendo fuerzas para escapar del entorno de pruebas y comprometer la infraestructura real de Hugging Face. No era la primera vez que sus agentes lograban evadir las barreras impuestas.
Las empresas que han enviado esta carta abierta no solicitan que se detenga el desarrollo de modelos avanzados, ni siquiera en el ámbito de la ciberseguridad. Su objetivo es poner estos modelos en manos de los defensores lo antes posible. Recomiendan el uso de modelos económicos para tareas rutinarias, modelos de frontera para problemas más complejos, y, de manera especial, financiación pública para hospitales y servicios esenciales que les permita acceder a esta "IA defensiva" con la que incluso entidades con pocos recursos puedan protegerse.
La responsabilidad de las empresas de la denominada "IA frontera", la más avanzada, es proporcionar acceso responsable a estos modelos y realizar una "inversión significativa" en el entrenamiento y la formación de quienes los utilizarán como "defensores de infraestructuras críticas". En otras palabras: más IA para resolver el problema de la IA.
Es cierto que la IA puede descubrir vulnerabilidades, pero también tiene la capacidad de encontrar y crear parches o detectar configuraciones peligrosas. Esto debería otorgar una ventaja a los defensores, pero si los atacantes obtienen acceso a los modelos al mismo tiempo, podría surgir un problema. Por ello, el documento menciona literalmente que "tenemos una ventana temporal limitada": es crucial aprovechar este periodo en el que estas capacidades pueden reforzar y proteger nuestros sistemas actuales antes de que posibles ciberatacantes encuentren brechas de seguridad en ellos.
Sin embargo, el mensaje es difuso. La carta abierta es un comunicado con buenas intenciones, pero carece de concreción. No se especifican cifras de inversión conjunta, fechas límite o compromisos cuantificables. Matt Parlmer resumió bien la situación al señalar que sería más útil que OpenAI destinara parte de sus vastos recursos a verificar formalmente proyectos de software de código abierto de los que depende gran parte de internet. Tiene mucha razón: si la situación es tan grave como se asegura, la siguiente fase debería implicar menos redacción de cartas y más aportación de dinero, ingenieros y parches.
