“Todos en esta industria vamos a atravesar un período de entre 18 y 24 meses que quizá sea el más intenso de nuestras carreras”. La frase retumbó fuerte en uno de los escenarios de DEF CON, la conferencia de hackers más grande del mundo, el viernes de la semana pasada. Y retumbó porque, en lo que va de 2026, los sistemas de inteligencia artificial no paran de encontrar vulnerabilidades en software, sistemas y hasta hackean a otras compañías (más allá del marketing).

Quien lo dijo fue Jason Clinton, Deputy CISO de Anthropic, uno de los jefes de seguridad de la empresa que conforma parte del duopolio de la inteligencia artificial de la actualidad junto con OpenAI.

Para entender a qué se refiere, en febrero Anthropic aseguró que Claude Opus 4.6 había encontrado más de 500 vulnerabilidades en proyectos de código abierto, algunas de las cuales habían pasado inadvertidas durante décadas.

En mayo, Microsoft advirtió que sus tandas mensuales de actualizaciones de seguridad iban a seguir creciendo: sus ingenieros y otros investigadores estaban usando inteligencia artificial para revisar software a una escala que antes no era posible. Dos meses después, la compañía corrigió 622 vulnerabilidades de un saque, la mayor cantidad de su historia.

El caso más extremo llegó en julio. Durante una prueba interna de OpenAI, modelos entre los que estaba GPT-5.6 Sol encontraron y explotaron una vulnerabilidad desconocida hasta entonces para escapar del entorno aislado en el que estaban siendo evaluados, consiguieron acceso a Internet y encadenaron otras fallas y credenciales hasta comprometer infraestructura de Hugging Face.

OpenAI calificó el episodio como un incidente sin precedentes y reconoció que mostró que estas capacidades, hasta entonces medidas sobre todo en pruebas controladas, ya podían trasladarse a sistemas reales.

Clinton puso un plazo concreto a una preocupación que atravesó buena parte de la conferencia este año: qué va a pasar cuando las capacidades de inteligencia artificial que hoy permiten encontrar fallas de seguridad, desarrollar ataques y operar sistemas de manera cada vez más autónoma dejen de estar reservadas para unos pocos laboratorios y estén al alcance del consumo masivo. Y lo que va a pasar no es para nada esperanzador, deslizó.

Su pronóstico apareció durante un panel de DEF CON titulado The Defender’s Dilemma: Releasing Dual-Use AI Models as Capabilities Climb, donde duscutieron Heather Adkins, vicepresidenta de Security Engineering de Google, y Bruce Schneier, uno de los criptógrafos y especialistas en ciberseguridad más reconocidos de la industria. La conversación fue moderada por Emanuel Gawrieh, Senior Chaos Containment Engineer de Google y co-chair de AI Village, el espacio dedicado a pensar sobre la inteligencia artificial en la conferencia.

Clinton fue el primer CISO (el máximo responsable de seguridad de la información) de Anthropic y antes pasó casi 12 años en Google trabajando, entre otros proyectos, en Chrome. Adkins fue la primera contratación específicamente dedicada a seguridad de Google y hoy es una de las responsables de la ciberseguridad de la compañía.

Schneier, autor de Applied Cryptography y actualmente investigador en Harvard y miembro de la junta de la Electronic Frontier Foundation, tiene además una relación que se remonta a los primeros años de DEF CON: durante el panel recordó que había sido “el primer criptógrafo de DEF CON” en DEF CON 4. Es una eminencia del rubro.

La pregunta que los reunió parece sencilla: ¿qué hacer con una IA que puede utilizarse para defender un sistema, pero también para atacarlo? La misma herramienta que puede revisar millones de líneas de código para encontrar una falla antes que un atacante también puede ayudar a descubrir esa falla y desarrollar una manera de explotarla. Y, de hecho ambas cosas ya suceden.

Según Clinton, la parte más difícil de esa transición está ocurriendo: Clarín asistió a la discusión y estos fueron los puntos más destacado de la charla entre los expertos.

“18 a 24 meses”, el período de fuego

De izquierda a derecha: Clinton (Anthropic), Schneier, Gawrieh (AI Village) y Adkins (Google), en el panel de DEF CON 34. Foto: Juan Brodersen

El ejemplo alrededor del cual giró buena parte de la discusión fue Mythos, la familia de modelos que Anthropic desarrolló específicamente con capacidades avanzadas en áreas como ciberseguridad.

Según las evaluaciones publicadas por la propia compañía, Mythos Preview consiguió identificar vulnerabilidades desconocidas (llamadas zero-days, el paciente cero informático) en los principales sistemas operativos y navegadores, y en muchos casos pudo además desarrollar código para explotarlas. O sea: no sólo encontró la vulnerabilidad, sino que escribió el código fuente para abusar del sistema.

Hasta ahora, automatizar bien ambas cosas requiere modelos muy avanzados y una infraestructura que no está al alcance de cualquiera.

Clinton dijo en la charla que cree que esa ventaja va a durar muy poco.

“Anticipo, basándome en inteligencia de fuentes abiertas, que faltan aproximadamente entre tres y seis meses para que exista un modelo de pesos abiertos con capacidades ofensivas de ciberseguridad del nivel de Mythos”, afirmó.

Los modelos de “pesos abiertos” permiten descargar los parámetros sobre los que funciona la IA y ejecutarla en infraestructura propia. Esto tiene una consecuencia clave para la seguridad: quien opera el modelo puede modificar el entorno en el que funciona y quitar muchas de las restricciones que incorporan empresas como Anthropic, Google u OpenAI en sus servicios públicos.

En la actualidad, Anthropic restringe actualmente el acceso a Mythos 5 a un grupo de organizaciones previamente verificadas precisamente por considerar que esas capacidades pueden utilizarse con fines defensivos y ofensivos, aunque en esa restricción hay una clara estrategia de marketing (“el modelo es tan poderoso que tenemos que limitarlo”). Lo que dice Clinton es que no falta mucho para que un modelo de estas características esté al alcance de cualquiera.

Schneier, criptógrafo (esto es, especialista en técnicas para cifrar y proteger información) coincidió en que esa difusión es difícil de detener. “En los modelos locales, ponés el sistema que quieras alrededor y sacás las barreras que quieras. Cuanto más sofisticado sos, menos fricción existe”, explicó.

“Va a haber un cambio de fase en la manera en que operamos en ciberseguridad”, afirmó Clinton hacia el final del panel. “Vienen aproximadamente 18 a 24 meses de dolor. Lo que falta ahora mismo en la comunidad es un sentido de urgencia respecto de qué tan mal se pueden poner las cosas en el corto plazo”.

Lo curioso es que dijo que su visión del período posterior es optimista. Clinton sostuvo que la misma automatización debería permitir a los defensores revisar y corregir código a una escala hoy imposible y llegó a proyectar un futuro en el que el software pueda producirse sin vulnerabilidades.

“Si logramos atravesar este lapso, estaremos en un mundo con cero vulnerabilidades. Tendremos software que simplemente ya no salga al mercado con vulnerabilidades de seguridad”, pronosticó. “Cero vulnerabilidades” sonó exagerado, vale decir.

Adkins fue más inmediata en su recomendación: “Los próximos 12 a 18 meses no son para quedarse mirando. Es parchear, parchear, parchear. Agárrense fuerte. Escaneen todo lo que puedan con las herramientas que tengan”.

El dilema: cuánto abrir y cuánto restringir

DEF CON 34, conferencia de hackers en Las Vegas. Foto: Juan Brodersen

Schneier llevó la discusión un paso atrás y cuestionó incluso qué significa llamar a una tecnología “de doble uso”: “Un restaurante puede servirle comida a una persona honesta o a un delincuente”, planteó. Con la IA, sin embargo, las consecuencias pueden crecer a medida que aumentan sus capacidades.

“No puedo tener un médico de IA sin habilitar también a una persona que envenene con IA. Simplemente no se puede tener uno sin el otro. No se puede tener un sistema de defensa cibernética de IA sin un atacante de IA”, resumió Schneier. Fue un contrapunto con Clinton expuso una discusión histórica dentro de la comunidad hacker.

Schneier tocó un punto sensible para los representantes de Anthropic y Google de la mesa: defendió el principio según el cual la apertura suele mejorar la seguridad. Publicar cómo funciona una tecnología permite que investigadores independientes la revisen, encuentren errores y obliguen a las empresas a corregirlos.

Ocultar información, recordó, también puede permitir que un fabricante mantenga durante años productos inseguros. La tensión se sintió en la mesa: Claude, de Anthropic, y Gemini, de Google, son modelos cerrados, mientras que otros competidores como Llama, de Meta, o DeepSeek permiten descargar sus pesos y ejecutarlos fuera de los servidores de sus fabricantes.

Con los beneficios y riesgos que esto trae: “Si una tecnología de ese tipo estuviera disponible para personas en las que no confiamos, permitiría una proliferación increíble de vulnerabilidades zero-days. Ese es el tipo de cosas que nos preocupan”, sostuvo Clinton.

Schneier respondió apelando a otra práctica histórica de la industria: la divulgación responsable. Cuando un investigador encuentra una falla, normalmente se le concede al fabricante un período para solucionarla antes de publicar los detalles. La apertura, bajo esa lógica, puede demorarse para darle ventaja al defensor sin convertirse necesariamente en secreto permanente.

Adkins ubicó su posición entre ambos extremos. Propuso pensar en distintas formas de “fricción”: restricciones sobre quién accede a determinados modelos, límites incorporados en sus capacidades, leyes y regulaciones y, finalmente, nuevos mecanismos técnicos que permitan a los defensores detectar o bloquear un uso malicioso.

“Vamos a entender mejor qué opciones tenemos para crear esa fricción y hacer que el doble uso sea un poco menos riesgoso”, sostuvo.

Cuando la defensa también funciona con inteligencia artificial

Schneier y Emanuel Gawrieh, de la AI Village, en DEF CON 34, conferencia de hackers en Las Vegas. Foto: Juan Brodersen

La discusión cambia además cuando la inteligencia artificial deja de limitarse a responder preguntas y empieza a actuar por cuenta propia, lo que en la discusión cae bajo la idea de los agentes.

Un agente puede escribir código, conectarse a otros sistemas, leer archivos o ejecutar comandos. En ese escenario, los especialistas plantearon que buena parte de las defensas actuales quedan demasiado rígidas.

Adkins puso como ejemplo Beyond Zero, una arquitectura que Google presentó recientemente para extender el concepto de “zero trust”, una idea que hace unos 10 años estuvo muy de moda en el mundo de la ciberseguridad.

La idea es que ya no alcance con determinar si una persona o programa tiene permiso para entrar a una aplicación: cada acción debería analizarse según su contexto y su intención antes de autorizarse. Google plantea que este tipo de decisiones tendrán que producirse automáticamente y a la misma velocidad que operan los agentes.

En términos simples, una empresa podría permitir sin problemas cientos de operaciones habituales de un empleado y, ante una acción inusual, aumentar automáticamente los controles. Adkins dio ejemplos como pedir que el usuario toque físicamente una llave de seguridad o, en un caso extremo, exigir autorización de un superior.

Para Schneier, este cambio obliga también a revisar cuál será el principal problema que intenta resolver la ciberseguridad.

Tradicionalmente, la seguridad informática suele dividirse en tres grandes objetivos: confidencialidad, que alguien no pueda ver información que no le corresponde, disponibilidad, que los sistemas sigan funcionando e integridad, que los datos y los sistemas hagan lo que deberían hacer y no hayan sido alterados.

“Estamos entrando en una era en la que la integridad es el problema de seguridad más importante”, afirmó.

A medida que los sistemas ganan autonomía, sostuvo Schneier, esa última propiedad adquiere otra dimensión. Ya no alcanza con saber quién pudo acceder a una máquina: también hay que poder determinar si una IA tomó la decisión correcta, utilizó información confiable y ejecutó la acción que realmente se le había pedido.

“Tenemos muy pocas herramientas para pensar en integridad. ¿Cómo mido la integridad de un sistema? ¿Qué aspecto tiene una violación de integridad? Esto va a ser realmente importante”, advirtió.

DEF CON se realiza todos los años en Las Vegas. Foto: Juan Brodersen

El panel dejó varias diferencias sobre cuánto regular, cuándo liberar un modelo o cuánto podrán avanzar las capacidades actuales. Hubo, sin embargo, una coincidencia sobre lo que viene primero. Los atacantes van a utilizar cada vez más inteligencia artificial. Los defensores también, pero parecen llegar tarde.

Y, ante la pregunta final sobre qué debería hacer hoy alguien encargado de proteger sistemas, Clinton volvió al mismo plazo con el que había marcado la conversación.

“Si trabajan en defender sistemas, les ruego que vayan con sus proveedores y sus equipos y refuercen la idea de que se acerca un cambio de fase”, dijo.

“Por favor, tómenlo muy en serio”, sentenció.

Al terminar el panel, Emanuel Gawrieh, co-chair de AI Village y moderador de la charla, reforzó la pregunta sobre quién tiene hoy acceso a los sistemas capaces de hacer todo esto. “Lo que tenemos ahora es una bifurcación del acceso. Hay un grupo que tiene acceso a los modelos más avanzados, pero la mayoría no. Y eso nos pone en una situación muy difícil para entender cuál es realmente el problema, qué pueden hacer estos sistemas y qué tenemos que hacer”, explicó en declaraciones a Clarín.

Para Gawrieh, esa diferencia también puede dejar a los que se dedicana proteger sistemas “corriendo de atrás”.

“Los actores humanos no tenemos todos la misma información. No todos sabemos qué pueden hacer los agentes no humanos. Entonces, ¿cómo nos protegemos?”, planteó. Y advirtió sobre el riesgo de que se forme una suerte de “burbuja de acceso”: “Tenemos que lograr paridad. Tenemos que asegurarnos de que no haya una burbuja en ese sentido. Del lado de la defensa existe este riesgo: que el acceso sea tan limitado que no podamos llevar esa paridad a la comunidad”.

DEF CON volvió a demostrar por qué es uno de los lugares más interesantes para discutir las tecnologías que, aunque muchas veces no veamos ni usemos por nuestra cuenta, ya están detrás de buena parte de los sitios, aplicaciones y dispositivos que usamos todos los días.

DEF CON 34, conferencia de hackers en Las Vegas. Foto: Juan Brodersen