OpenAI, Anthropic y Google piden protegernos de los riesgos de la IA. Es como poner al lobo a cuidar del gallinero

OpenAI, Anthropic, Google, Microsoft, AWS, IBM, Cloudflare, CrowdStrike, Palo Alto Networks y decenas de empresas más han firmado una carta abierta con un objetivo común: reforzar la ciberseguridad ante la llegada de modelos de IA cada vez más potentes. La frase con la que arrranca el documento no deja lugar a dudas: "Tenemos una ventana temporal limitada para reforzar las ciberdefensas".

Hablan de meses, no de años. Los firmantes de esta carta afirman que los ciberataques asistidos por IA serán pronto "mucho más generalizados y sofisticados", y mencionan expresamente hospitales, plantas de tratamiento de agua e infraestructura de internet entre todos los sistemas expuestos. El diagnóstico es conocido: llevamos años sin parchear algunas aplicaciones, dando permisos excesivos a algunos sistemas, configurándolos más, integrando métodos de autenticación débiles y, en general, dejando puertas abiertas.

Ayudar a los que no necesitan. Las empresas que han enviado esa carta abierta no piden que se frene el desarrollo de modelos avanzados incluso en el ámbito de la ciberseguridad. Lo que quieren es ponerlos lo antes posible en manos de los defensores. Recomiendan que se usen modelos baratos para tareas rutinarias, modelos frontera para los problemas más complejos, y algo especial: financiación pública para hospitales y servicios esenciales que les permitan acceder a esa "IA defensiva" con la que puedan protegerse incluso entidades con pocos recursos.

Deberes para las empresas de IA. La labor de las empresa de la llamada "IA frontera", la más avanzada, debe proporcionar acceso responsable a estos modelos, y una "inversión significativa" para el entrenamiento y formación de quienes usarán estos modelos como "defensores de infraestructuras críticas". O lo que es lo mismo: más IA para solucionar el problema de la IA.

Ventaja para los defensores. Es cierto que la IA puede descubrir vulnerabilidades, pero también puede descubrir vulnerabilidades, encontrar y crear parches o detectar configuraciones peligrosas. Eso debería dar ventaja a los defensores, pero si los atacantes reciben los modelos al mismo tiempo, puede haber un problema. Por eso el documento habla literalmente de que "tenemos una ventana temporal limitada": hay que aprovechar ese periodo en el que esas capacidades pueden reforzar y proteger nuestros sistemas actuales antes de que potenciales ciberatacantes encuentren agujeros de seguridad en ellas.

Pero el mensaje es difuso. La carta abierta no deja de ser un comunicado con buenas intenciones, pero sin concretar nada. No hay cifras de inversión conjunta, fechas límites o compromisos que luego puedan cuantificarse. Matt Parlmer resumía bien esa situación al decir que sería más útil que OpennAI destinase parte de sus enormes recursos a verificar formalmente proyectos de software Open Source de los que depende medio internet. Tiene mucha razón: si la situación es tan grave como aseguran, la siguiente fase debería ir menos de escribir cartas y más de aportar dinero, ingenieros y parches.

En este blog Daniel Púa, jefe de seguridad en Magnific: "Si Claude Opus 4.8 podía ser una navaja, Mythos es un machete"