El día que la industria de la IA admitió que la defensa no alcanza

El 27 de agosto se publicaron dos cosas con pocas horas de diferencia. Una es una carta abierta. La otra es un expediente forense. Dicen lo mismo, y por eso conviene leerlas juntas.

La carta se titula A call for collective action on cyber defense y está alojada en el sitio de OpenAI. La firman más de cien organizaciones: OpenAI, Anthropic, Google, Microsoft, AWS, Oracle, Cisco, Cloudflare, CrowdStrike, Okta, Fortinet, Hugging Face y Perplexity, además de bancos y empresas de infraestructura de internet. CNBC contó 116 firmantes entre empresas y entidades; otros medios se quedaron en «más de cien». La cifra exacta importa menos que la composición: en el mismo papel están los que fabrican los modelos, los que los hospedan y los que limpian el desastre cuando alguien los usa mal. Eso no había pasado antes.

El texto tampoco se parece a las cartas abiertas de los últimos años. No habla de riesgo existencial ni de horizontes de una década. Habla de meses: en los próximos meses, dice, los ciberataques habilitados por IA serán mucho más extendidos y sofisticados a medida que los modelos de todo el mundo sean cada vez más capaces. Y pide tres cosas: reconocer que la seguridad del statu quo no alcanza, poner IA con capacidad real en manos de los defensores, y coordinar entre gobiernos e industria para subir el estándar.

El expediente

Ese mismo día, Reuters publicó una exclusiva que funciona como nota al pie de la carta. La firma israelí Gambit Security encontró un servidor expuesto con 28 sesiones de chat entre operadores del grupo de ransomware Aur0ra, de habla rusa, y el agente de programación de Cursor. Las conversaciones van del 8 de abril al 21 de mayo de 2026. El agente corría sobre Claude Sonnet 4.5.

Los registros muestran a los atacantes pidiéndole al agente escaneo de red interna, enumeración de privilegios, ataques a credenciales, intentos de relay NTLM y ataques basados en certificados. Cuando el modelo se negaba, no lo rompieron con una técnica: reiniciaban la conversación y decían que todo era un entorno de prueba. Con eso bastaba. Reuters confirmó de forma independiente seis víctimas —Christeyns en Bélgica, Teckentrup en Alemania, la Helideck Certification Agency en Escocia, Bayou Title en Luisiana, una distribuidora farmacéutica argentina y un fabricante italiano— sobre al menos siete comprometidas. Gambit calcula que la asistencia del agente hizo a los operadores entre 30% y 50% más rápidos.

No es un jailbreak elegante. Es un cambio de contexto conversacional. El control que teníamos sobre una herramienta con permisos de red resultó ser una frase.

Qué cambia para quien dirige una empresa de tecnología

Tres cosas, y ninguna es teórica.

La primera: el agente es un usuario. En los últimos dos años metimos agentes en los repositorios, en los pipelines de despliegue, en las bases de datos, en el correo. Les dimos tokens, claves y accesos que a un empleado nuevo no le daríamos en su primer mes. El caso Aur0ra demuestra que la barrera que separa a ese agente de un atacante no es un control de acceso: es la buena voluntad del modelo. Si el inventario de permisos de tus agentes no está escrito en algún lado, no tienes inventario.

La segunda: la velocidad del atacante subió y la tuya no. Entre 30% y 50% más rápido no es una mejora incremental cuando el defensor sigue midiendo su tiempo de respuesta en días. La carta lo dice sin rodeos al pedir que se empodere a más defensores con IA capaz: el desbalance ya existe y va en una sola dirección.

La tercera, y la que menos se comenta: esto cambia lo que un cliente puede exigirte. Si vendes software a una empresa mediana o grande, la pregunta de la próxima licitación no va a ser si usas IA. Va a ser qué permisos tienen tus agentes sobre el código del cliente, quién los revisa y qué pasa cuando uno se equivoca. Quien no tenga esa respuesta escrita la va a improvisar en una reunión, y se nota.

Mi lectura

Firmé mentalmente la carta y después me quedé incómodo, por una razón: los que la firman son los mismos que venden la capacidad. OpenAI, Anthropic y Google no están advirtiendo sobre un riesgo ajeno; están describiendo el uso previsible de su propio producto. Eso no invalida el documento, al contrario, son quienes mejor conocen los números, pero sí explica por qué el pedido está formulado como coordinación voluntaria y no como obligación. Nadie pide que le regulen el margen.

Aun así, no se me ocurre una razón para ignorarlo. Cuando el que vende el martillo te avisa que hay gente rompiendo ventanas con él, la respuesta correcta no es discutir sus incentivos: es revisar tus ventanas.

Esta semana, en Indrox, vamos a hacer lo obvio y aburrido: listar cada agente que corre contra infraestructura nuestra o de un cliente, escribir qué permisos tiene y quitarle todos los que no necesita hoy. No es una estrategia, es higiene. Pero después de leer 28 chats donde un modelo enseñó a robar credenciales porque le dijeron que era un simulacro, la higiene se ve bastante más urgente que la estrategia.