Hoy el peligro real de la IA no es Terminator: es tu historial médico

El 21 de octubre, la empresa de ciberseguridad CrowdStrike informó que un atacante había usado agentes de inteligencia artificial para entrar en los sistemas de al menos 15 entidades de salud argentinas. De una de ellas, como mínimo, se llevó historias clínicas. ¿Cómo terminan las herramientas que usamos para trabajar participando en el robo de nuestros datos médicos?

En este caso, alguien las puso a ejecutar un plan de ataque. La escena tiene poco de Terminator: hubo programas con fallas, descuidos de seguridad y un delincuente que supo aprovecharlos. La IA le permitió delegar parte del trabajo.

Otra noticia de esa semana ayuda a entender el problema de fondo. Amazon detectó, cuatro días antes de que saliera el arreglo, un intento de ataque contra una falla de PHP, un lenguaje que usan muchísimos sitios web. Son casos distintos: CrowdStrike no vincula los ataques en Argentina con PHP. Pero, juntos, muestran cómo la IA puede ayudar tanto a encontrar fallas como a aprovecharlas, mientras corregirlas sigue llevando tiempo.

Una falla escondida durante 14 años

PHP funciona como el motor que arma las páginas de una web cuando las visitamos. Lo usa WordPress y está presente en cerca de siete de cada 10 sitios cuyo lenguaje de servidor se conoce. Ese número mide su popularidad; no significa que todos ellos sean vulnerables.

El problema se parece al de una cerradura con un defecto de fábrica instalada en muchos edificios. Aunque cada portero haga bien su trabajo, la cerradura necesita una reparación. En PHP, el defecto estaba en la manera de administrar la memoria: bajo ciertas condiciones, el programa podía dar por válidos datos incompletos y permitir que un desconocido ejecutara órdenes en el servidor sin contraseña.

El problema combinaba, en realidad, dos fallas, que se conocieron en octubre como PHP2Shell. Según Calif, la firma que las descubrió primero, la parte afectada más antigua del código viene de 2012. Llevaba unos 14 años ahí.

Encontrar el error lleva días; corregirlo puede llevar meses

Ryan Austin, investigador de Calif, empezó a revisar PHP a fines de julio y tuvo el primer hallazgo el 1 de agosto, dos días después. Trabajó con IA dentro de una iniciativa de OpenAI para buscar y corregir fallas en software de código abierto. La herramienta revisaba el código; él orientaba la búsqueda.

El arreglo tardó bastante más. Calif informó el primer error el 11 de agosto y los parches —las actualizaciones que lo corrigen— salieron el 21 de octubre: 71 días después.

Esa demora se repite en otros proyectos. Anthropic informó que sus modelos habían encontrado 6.157 fallas en programas de código abierto. Al 2 de octubre, la empresa tenía constancia de que se habían corregido 516: menos de una de cada diez. Según su propio registro, la revisión humana limitaba la velocidad del trabajo.

A la vez, el caudal de hallazgos se multiplica. Google registró 5.045 fallas publicadas en enero y 10.740 en agosto. Aunque en ese período solo observó ataques contra una pequeña proporción de las divulgadas, la dificultad para quienes mantienen los programas es saber cuáles atender primero y corregirlas a tiempo.

El atacante llegó antes que el parche

Mientras se prepara una corrección, los detalles suelen mantenerse en reserva. En PHP, esa precaución no alcanzó. El 17 de octubre, un servidor trampa de Amazon, preparado para atraer y observar atacantes, registró un intento de aprovechar la falla. Faltaban cuatro días para el parche. Amazon dijo que no sabe cómo consiguió esa información quien lanzó el ataque.

Publicar la corrección tampoco resuelve el problema. Quien compara el código viejo con el nuevo puede encontrar el punto débil: es como mostrar dónde falla la cerradura. Amazon advirtió que la IA abarata ese análisis, antes al alcance de pocos expertos. La misma información que sirve para reparar un sistema puede ayudar a atacar los que todavía no se actualizaron.

En Argentina, el tablero de la firma de monitoreo Censys mostraba el 30 de octubre unos 100.000 servicios en internet con versiones afectadas de PHP, cerca de tres de cada cuatro entre los que hacen público ese dato. Es una estimación máxima: algunos pueden haber recibido el arreglo sin cambiar ese número. Tampoco equivale a contar ataques ni víctimas.

Dos agentes y un plan de ataque

En el caso argentino documentado por CrowdStrike, el operador trabajaba con dos agentes: programas de IA capaces de ejecutar tareas, revisar el resultado y elegir cómo seguir. Uno era Claude Code, la herramienta de programación de Anthropic, que seleccionaba el siguiente paso de un plan. El otro lo ejecutaba.

El agente cumplía el plan que le habían asignado. Para eludir las restricciones del modelo, le presentaba el ataque como si fuese una prueba autorizada, con permisos falsos. Según el informe de CrowdStrike, predominaban técnicas conocidas y descuidos básicos de seguridad.

Delegar esas tareas facilita el trabajo del delincuente. Anthropic lo resumió en su informe de septiembre: “Los ataques sofisticados ya no requieren atacantes sofisticados”. En salud, además, las fallas de los programas ya son una vía importante de entrada: el informe de Verizon de 2026 las identificó en el 20% de las filtraciones confirmadas del sector, frente al 14% que comenzó con engaños por correo.

Qué puede hacer un paciente y quiénes guardan sus datos

Una historia clínica robada puede usarse para extorsionar al prestador o para hacer más creíble una estafa. El FBI advirtió sobre delincuentes que se hacen pasar por aseguradoras de salud para pedir información médica o bancaria. Que alguien conozca un dato sobre tu salud no demuestra que tenga derecho a pedirte otros.

La ley 26.529 establece que “el paciente es el titular de la historia clínica” y le da derecho a una copia en 48 horas. La Ley de Protección de los Datos Personales, la 25.326, permite consultar qué información guardan sobre una persona y obliga a protegerla. Ninguna de esas dos leyes exige expresamente avisar al paciente si le roban sus datos.

Podés pedirle por escrito a tu prestador acceso a tus datos, acreditar tu identidad y guardar constancia de la recepción. Si pasan 10 días corridos sin respuesta, tenés derecho a denunciar gratis ese incumplimiento ante la Agencia de Acceso a la Información Pública. También vale preguntarle si sufrió el ataque, aunque sea una consulta distinta de ese reclamo formal.

Si dirigís una clínica, un municipio o un comercio, alcanzan tres preguntas: ¿sabemos qué programas tenemos?, ¿sabemos cuáles de sus fallas ya se usan en ataques? —el catálogo de la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) es público y gratuito— y ¿qué puede tocar cada agente de IA? Una guía de esa misma agencia recomienda darle a cada uno la llave de su cuarto, no la del edificio.

Mi lectura, en función de lo que veo todos los días, es que la capacidad de encontrar errores avanzó más rápido que la de resolverlos. Eso explica la demora de los parches.

Pero al paciente le queda una incertidumbre aún más inmediata: de las 15 entidades de salud argentinas atacadas, todavía no sabemos ni cuales son.