México ante la IA ofensiva, una defensa atrapada en la burocracia

La transformación de la ciberdelincuencia está imponiendo una nueva regla en materia de seguridad nacional: la velocidad de respuesta importa tanto como la capacidad tecnológica. México, sin embargo, parece enfrentar esta realidad con estructuras administrativas, presupuestales y operativas diseñadas para otra época.

Mientras los grupos cibercriminales incorporan inteligencia artificial (IA), automatización y herramientas capaces de ejecutar operaciones a velocidad de máquina, buena parte del ecosistema de defensa mexicano, particularmente en el sector público, continúa dependiendo de procesos fragmentados, autorizaciones jerárquicas y protocolos cuya lentitud puede convertirse en una vulnerabilidad por sí misma.

La asimetría es preocupante. Un atacante puede automatizar el reconocimiento de infraestructura, identificar vulnerabilidades, diseñar campañas de phishing personalizadas y modificar herramientas maliciosas en periodos cada vez más cortos.

En contraste, una institución puede necesitar horas, días o incluso semanas para determinar responsabilidades, autorizar una intervención y coordinar a sus áreas técnicas, jurídicas y administrativas.

El problema de México, por tanto, ya no puede explicarse únicamente por un déficit tecnológico. También es institucional y político.

La falta de una arquitectura nacional suficientemente sólida para enfrentar las amenazas cibernéticas de nueva generación, sumada a los rezagos legislativos, las restricciones presupuestales, los sistemas heredados y la insuficiente coordinación gubernamental, plantea una pregunta incómoda: ¿puede el Estado mexicano proteger adecuadamente su infraestructura crítica y los datos de millones de personas frente a adversarios que ya operan con inteligencia artificial?

Una guerra de velocidades profundamente desigual

El principal riesgo de la IA aplicada a las operaciones ofensivas no reside únicamente en su sofisticación, sino en su capacidad para multiplicar los ataques.

Los ciberdelincuentes ya no necesitan elaborar manualmente cada correo fraudulento, estudiar individualmente a cada objetivo o inspeccionar una red servidor por servidor. Los modelos de lenguaje, los sistemas automatizados de reconocimiento y otras herramientas basadas en IA permiten analizar grandes volúmenes de información, perfilar objetivos y producir mensajes convincentes en cuestión de segundos.

Esta transformación modifica la economía del ciberdelito. Actividades que antes requerían numerosos operadores y muchas horas de trabajo pueden automatizarse parcialmente. El resultado es una mayor capacidad para lanzar campañas a gran escala, modificar tácticas con rapidez y explotar vulnerabilidades antes de que las organizaciones terminen de evaluar los riesgos.

El incidente atribuido al grupo cibercriminal Chronus a principios de 2026 ilustra, de acuerdo con los reportes difundidos sobre el caso, la dimensión de esta asimetría. Los atacantes habrían recurrido a herramientas automatizadas y capacidades apoyadas en inteligencia artificial para inspeccionar infraestructura vinculada con instituciones mexicanas, identificar subdominios vulnerables y explotar puntos débiles sin depender exclusivamente de procedimientos manuales.

Entre las cifras que han circulado sobre el incidente se encuentra la presunta extracción de aproximadamente 2.3 terabytes de información. De confirmarse estos datos, el episodio pondría de relieve un problema que trasciende el ataque específico: las capacidades ofensivas evolucionan con mayor rapidez que los mecanismos institucionales encargados de contenerlas.

El desfase es especialmente peligroso porque los sistemas defensivos basados en firmas de amenazas conocidas, perímetros relativamente estáticos y procedimientos que requieren sucesivas autorizaciones humanas pueden tener dificultades para responder a ataques capaces de adaptarse, desplazarse y escalar de manera automatizada.

Cuando la burocracia también se convierte en una vulnerabilidad

Frente a adversarios automatizados, numerosas organizaciones todavía dependen de estructuras de respuesta fragmentadas y procesos de decisión que consumen tiempo.

Un equipo técnico puede detectar una anomalía sin tener facultades para desconectar de inmediato un sistema crítico. El área jurídica puede solicitar una evaluación previa de las consecuencias regulatorias; la operativa puede resistirse a suspender servicios esenciales, y la dirección general puede necesitar conocer el impacto financiero, reputacional y operativo antes de autorizar determinadas medidas.

Cada precaución puede ser razonable por separado. El problema surge cuando todas deben cumplirse de manera consecutiva mientras el atacante continúa avanzando dentro de la red.

En ciberseguridad, la burocracia también consume tiempo. Y cada minuto que pierde el defensor amplía la oportunidad de acción del intruso.

Una respuesta excesivamente compartimentada puede prolongar la ventana de exposición y facilitar que los atacantes eleven privilegios, extraigan información, comprometan respaldos, propaguen ransomware o establezcan mecanismos de persistencia.

Por eso, medir la madurez de una organización únicamente por la cantidad de herramientas tecnológicas que ha adquirido resulta insuficiente. Una institución puede contar con soluciones avanzadas y seguir siendo vulnerable si sus equipos carecen de autoridad, procedimientos claros y coordinación para actuar con rapidez.

La pregunta fundamental ya no es cuántas alertas puede detectar una organización, sino cuánto tiempo necesita para convertir una alerta crítica en una acción efectiva.

El Estado mexicano y una deuda institucional acumulada

Uno de los puntos más delicados para México es la distancia entre la dimensión de las amenazas y la capacidad institucional para enfrentarlas. Los incidentes, las filtraciones y las vulnerabilidades que afectan a las instituciones públicas obligan a revisar si los mecanismos de prevención, contención y recuperación están a la altura del riesgo.

La ciberseguridad no puede limitarse a emitir comunicados después de una intrusión ni reducirse a determinar si el servidor principal, un proveedor externo o una infraestructura secundaria fueron los responsables técnicos del incidente.

Para una persona cuya información termina expuesta o comercializada clandestinamente, esa distinción administrativa es secundaria frente a las consecuencias concretas de la vulneración.

En el caso atribuido a Chronus, las versiones difundidas han señalado la posible exposición de información relacionada con millones de personas y sistemas vinculados con instituciones públicas. Si se confirman las cifras reportadas sobre aproximadamente 36.5 millones de registros o ciudadanos afectados, el episodio debería provocar una discusión que vaya más allá de identificar el servidor comprometido o la empresa encargada de administrar una plataforma.

El país necesita debatir sobre responsabilidad institucional, gobernanza y resiliencia digital.

Externalizar un servicio no significa externalizar la responsabilidad del Estado sobre la información que tiene bajo su custodia. La intervención de un proveedor puede explicar el origen técnico de una falla, pero no resuelve por sí sola quién debía garantizar los controles de seguridad, supervisar al tercero, auditar la infraestructura y responder ante una eventual exposición de datos personales.

La responsabilidad pública no desaparece cuando la operación tecnológica se delega en una empresa privada.

Una legislación que continúa llegando tarde

El rezago normativo constituye otra pieza del problema. México ha debatido durante años distintas iniciativas en materia de ciberseguridad, pero sigue enfrentando el desafío de construir un marco integral que defina responsabilidades, identifique infraestructura crítica, establezca mecanismos de coordinación y determine obligaciones de reporte y estándares mínimos de protección para los sectores público y privado.

La falta de consensos, sin embargo, tampoco debe resolverse aprobando cualquier legislación bajo la presión de una crisis.

Diversas propuestas han generado cuestionamientos legítimos de especialistas y organizaciones civiles por los riesgos de militarizar la ciberseguridad, ampliar facultades de vigilancia o incorporar disposiciones que puedan afectar derechos fundamentales. México necesita legislación, pero también necesita que esa legislación sea técnicamente sólida, proporcional y respetuosa de las garantías constitucionales.

Una política moderna debe ofrecer herramientas suficientes para proteger la infraestructura estratégica sin convertir la seguridad digital en un argumento para justificar una vigilancia desproporcionada. También debe establecer responsabilidades claras sin inhibir la innovación y facilitar el intercambio de inteligencia sin debilitar la privacidad ni los derechos ciudadanos.

La complejidad de este equilibrio no justifica una parálisis permanente. Mientras el Congreso discute qué modelo adoptar, las amenazas continúan evolucionando.

Austeridad tecnológica y sistemas que envejecen

Existe, además, una contradicción entre el discurso de transformación digital del Estado y la realidad presupuestaria de muchas instituciones.

La austeridad puede ser legítima cuando permite eliminar duplicidades, contratos injustificados y gastos improductivos. Sin embargo, cuando los recortes afectan indiscriminadamente la actualización de sistemas, el licenciamiento, la capacitación y la contratación de especialistas, el ahorro inmediato puede convertirse en un costo considerablemente mayor.

Un servidor sin actualizar no representa una medida de eficiencia si termina convertido en la puerta de entrada de una intrusión de alto impacto. Del mismo modo, una dependencia que pierde especialistas porque no puede competir salarialmente por talento en ciberseguridad no necesariamente está reduciendo costos: puede estar trasladando el riesgo hacia el futuro.

La infraestructura digital envejece con rapidez. Los sistemas heredados acumulan vulnerabilidades, las arquitecturas dejan de recibir soporte y las configuraciones construidas durante años pueden convertirse en superficies de ataque difíciles de administrar.

México necesita distinguir entre eliminar el gasto superfluo y debilitar tecnológicamente al Estado. Confundir ambos objetivos puede resultar extraordinariamente costoso.

México necesita capacidad nacional de respuesta, no solamente oficinas

La coordinación es otro de los grandes desafíos. Una amenaza puede afectar simultáneamente a dependencias gubernamentales, instituciones financieras, operadores de telecomunicaciones, hospitales, cadenas logísticas y empresas privadas. Ante ese escenario, la respuesta nacional no puede depender exclusivamente de llamadas improvisadas entre funcionarios una vez iniciada la crisis.

México necesita una capacidad federal de operaciones de ciberseguridad con recursos, talento, atribuciones y protocolos claramente definidos, capaz de construir una visión transversal de las amenazas y coordinar la respuesta ante incidentes de alcance nacional.

No se trata simplemente de crear otra oficina pública. Añadir burocracia para combatir la burocracia sería reproducir el problema.

Una capacidad nacional efectiva tendría que funcionar como un verdadero centro de coordinación: integrar inteligencia de amenazas en tiempo real, facilitar el intercambio seguro de indicadores de compromiso, organizar ejercicios permanentes de respuesta y coordinar acciones con los operadores de infraestructura crítica. También debería contar con protocolos de actuación extraordinaria cuando un ataque amenace la continuidad de servicios esenciales.

La ciberseguridad necesita institucionalidad, pero también capacidad operativa, claridad de atribuciones y resultados medibles.

De la IA ofensiva a la defensa autónoma

Mientras las instituciones públicas enfrentan estos desafíos, algunos sectores productivos ya operan en entornos donde una respuesta tardía puede tener consecuencias económicas inmediatas.

Los servicios financieros, la manufactura avanzada, las telecomunicaciones y las grandes cadenas industriales dependen de sistemas cuya interrupción durante unas horas puede ocasionar pérdidas considerables. Para estas organizaciones, esperar varios días antes de contener una amenaza puede dejar de ser una opción viable.

De ahí el creciente interés por la llamada IA agéntica, una evolución de los sistemas de inteligencia artificial orientada no solo a detectar problemas y formular recomendaciones, sino también a ejecutar determinadas acciones dentro de límites previamente establecidos.

En ciberseguridad, esta tecnología puede permitir que, ante comportamientos claramente anómalos, un sistema aísle un dispositivo comprometido, bloquee determinadas comunicaciones, revoque credenciales, inicie procedimientos de recuperación o escale automáticamente un incidente según su nivel de riesgo.

El objetivo no debe ser sustituir a los especialistas ni entregar decisiones irrestrictas a un algoritmo. La autonomía sin controles también genera riesgos: una clasificación incorrecta puede interrumpir servicios legítimos o provocar consecuencias operativas mayores que las que se pretendía evitar.

El desafío consiste en determinar qué decisiones pueden automatizarse de manera segura, cuáles requieren supervisión humana y qué salvaguardas deben impedir que una respuesta automática agrave el incidente.

La realidad, sin embargo, es difícil de ignorar: si el adversario automatiza sus operaciones mientras el defensor conserva procesos predominantemente manuales, la brecha de velocidad puede seguir ampliándose.

Por ello, reducir los tiempos de detección, decisión, contención y recuperación debe convertirse en una prioridad estratégica. Las organizaciones necesitan objetivos medibles, ejercicios de respuesta y mecanismos de automatización proporcionales al riesgo. En los incidentes críticos, la rapidez debe ir acompañada de procedimientos previamente autorizados, trazabilidad y capacidad de recuperación.

La próxima crisis no esperará una autorización administrativa

México se encuentra ante una encrucijada digital. El sector privado comienza a comprender que combatir amenazas automatizadas exclusivamente mediante procesos manuales es una estrategia difícil de sostener. Sin embargo, ninguna empresa puede construir por sí sola la resiliencia digital de un país. Esa responsabilidad también corresponde al Estado.

El Gobierno de México necesita abandonar la visión de la ciberseguridad como un asunto exclusivamente técnico y reconocer su dimensión estratégica: seguridad nacional, competitividad económica, protección de datos, continuidad de los servicios públicos y soberanía digital.

Esto exige inversión sostenida, legislación responsable, profesionalización del servicio público, auditorías independientes, transparencia ante los incidentes, cooperación internacional y una arquitectura nacional capaz de responder a la velocidad con la que evolucionan las amenazas. También requiere rendición de cuentas.

Minimizar una filtración, atribuir responsabilidades únicamente a los proveedores o proteger la reputación institucional mediante explicaciones ambiguas no recupera los datos comprometidos ni reduce los riesgos para la ciudadanía.

México forma parte de cadenas industriales, financieras y comerciales profundamente integradas con el resto del mundo. Una vulnerabilidad importante en su infraestructura digital no constituye únicamente un problema interno: puede extender sus consecuencias a proveedores, socios comerciales y sistemas transfronterizos.

La paradoja es evidente: mientras la inteligencia artificial permite a los atacantes reconocer objetivos, tomar decisiones y ejecutar acciones en segundos, una parte del aparato público mexicano continúa operando con estructuras administrativas que pueden requerir múltiples niveles de autorización para reaccionar.

Esa diferencia de velocidad puede convertirse en una de las vulnerabilidades más peligrosas. La próxima gran crisis cibernética no esperará una reunión de gabinete, una modificación presupuestal ni el siguiente periodo legislativo. Tampoco solicitará autorización antes de propagarse.

En la nueva guerra digital, la capacidad de reacción es parte esencial de la defensa. Mientras México no consiga que sus instituciones actúen con la agilidad, la coordinación y la preparación que exige este escenario, seguirá intentando contener amenazas del futuro con estructuras diseñadas para el pasado.