La ciberseguridad después de lo humano

Las fallas más peligrosas no siempre están donde miramos. Muchas han permanecido ocultas durante años en el software que sostiene hospitales, bancos, servicios públicos, sistemas judiciales y administraciones estatales. ¿Qué sucede cuando la inteligencia artificial empieza a descubrir esas grietas invisibles antes que nosotros?

La infraestructura decisiva del presente ya no se manifiesta únicamente en grandes obras visibles, sino en operaciones cotidianas que dependen de sistemas digitales. Retirar dinero de un cajero automático, autorizar una transferencia desde una aplicación, reservar un turno médico por internet, consultar un expediente judicial digitalizado, pagar con QR o realizar una denuncia a través de un bot estatal, son actos comunes sostenidos por programas, protocolos y sistemas operativos que permanecen fuera de nuestra mirada cotidiana. No los vemos, pero confiamos en ellos. No los comprendemos por completo, pero los usamos. No los auditamos personalmente, pero entregamos allí nuestros datos, nuestro dinero, nuestra salud, nuestras comunicaciones y, en muchos casos, nuestras decisiones públicas.

Esa confianza conserva una fragilidad de origen. El software, por su propia complejidad, puede contener errores, inconsistencias o puntos débiles que no siempre son visibles desde el comienzo. Algunos son menores. Otros, pueden permanecer ocultos durante años y convertirse, en el momento menos esperado, en una puerta de entrada para ataques, fraudes, filtraciones de datos o interrupciones de servicios esenciales. La diferencia es que, durante décadas, la búsqueda de esas fallas dependió de equipos humanos altamente especializados, auditorías lentas, herramientas automatizadas limitadas y una lógica reactiva. Se encontraba una vulnerabilidad, se emitía un parche, se corregía el daño posible.

La inteligencia artificial está modificando esa secuencia. El anuncio de Anthropic sobre Project Glasswing funciona como una señal de época. La empresa informó que Claude Mythos Preview, un modelo de frontera todavía no disponible para el público general, alcanzó capacidades avanzadas para detectar vulnerabilidades de software y que ya habría identificado miles de fallas de alta severidad. Entre los ejemplos mencionados se incluye una vulnerabilidad de veintisiete años en OpenBSD, un sistema operativo especialmente valorado en la comunidad tecnológica por su enfoque en seguridad. También se menciona una falla de dieciséis años en FFmpeg, una herramienta de código abierto utilizada por innumerables aplicaciones para procesar audio y video. El reporte agrega vulnerabilidades encadenadas en el núcleo de Linux, una pieza esencial para el funcionamiento de servidores, servicios en la nube y sistemas digitales que usamos todos los días.

Anthropic anunció que empresas tecnológicas, organizaciones de ciberseguridad, proveedores de nube, mantenedores de software de código abierto y otros actores estratégicos trabajarán en Project Glasswing con un objetivo concreto: identificar y corregir vulnerabilidades en sistemas críticos mediante las capacidades de Claude Mythos Preview.

La compañía también informó el compromiso de hasta cien millones de dólares en créditos de uso del modelo y cuatro millones de dólares en donaciones directas para organizaciones vinculadas con la seguridad del software de código abierto.

La ciberseguridad ya no es un asunto de especialistas aislados. Es una cuestión de gobernanza institucional y, desde esa perspectiva, aparece el punto jurídico más importante. Si la inteligencia artificial permite detectar riesgos que antes permanecían invisibles, también cambia el estándar de diligencia exigible. Las organizaciones ya no podrán sostener con la misma facilidad que ignoraban ciertas vulnerabilidades. Cuando existen herramientas capaces de anticipar fallas, la prevención deja de ser una opción técnica y empieza a convertirse en una obligación institucional. El problema se vuelve aún más complejo porque una IA capaz de encontrar una vulnerabilidad para corregirla, puede encontrarla también para explotarla. Ese es el núcleo de las tecnologías de doble uso.

La velocidad agrava todo. En la ciberseguridad tradicional, entre el descubrimiento de una vulnerabilidad y su explotación podía existir una ventana temporal que permitía reaccionar, distribuir actualizaciones y reducir el daño. Con inteligencia artificial, esa ventana puede acortarse drásticamente, porque la detección de fallas, el análisis del sistema y la posible construcción de un ataque pueden avanzar a una escala difícil de igualar con tiempos exclusivamente humanos.

Pero el problema no es solo la velocidad. También aparece la opacidad. Si los modelos empiezan a detectar fallas que los humanos no ven, será necesario comprender cómo llegan a esas conclusiones, qué datos analizan, qué pasos siguen y qué grado de supervisión humana interviene en el proceso. De lo contrario, podríamos terminar habitando sistemas digitales más seguros en apariencia, pero más difíciles de explicar, auditar y controlar. A eso se refiere la idea de caja negra: sistemas capaces de producir resultados eficaces, pero cuyo razonamiento interno no resulta plenamente transparente para quienes deben evaluarlos o responder por sus efectos.

La promesa de una arquitectura tecnológica más robusta no elimina ese problema. Al contrario, lo vuelve más urgente. Una sociedad no puede delegar completamente la comprensión de su infraestructura crítica en sistemas que no puede auditar, porque la seguridad no depende solo de que una tecnología funcione, sino también de que pueda ser explicada, controlada y sometida a responsabilidad humana.

Si un modelo como Claude Mythos Preview es capaz de razonar sobre la arquitectura del software, analizar un sistema operativo y descubrir en cuestión de minutos un defecto crítico que miles de expertos humanos pasaron por alto durante veintisiete años, ¿cuánto tiempo falta para el día en que un sistema de inteligencia artificial concluya que resulta ineficiente seguir reparando código humano defectuoso? ¿Qué sucederá cuando la solución más lógica ya no sea corregir lo existente, sino escribir lenguajes de programación y sistemas operativos completamente nuevos, construidos desde cero y diseñados con una arquitectura matemática casi imposible de vulnerar? ¿La humanidad seguirá comprendiendo verdaderamente cómo funciona y se comunica su propio mundo digital? ¿O tendremos que aceptar vivir rodeados de infraestructuras impecables que operan dentro de una caja negra? Son preguntas que el ritmo del progreso tecnológico nos obliga responder de forma urgente.