Urgencia mundial ante la IA: más de 100 compañías exigen reforzar la ciberseguridad frente a los recientes ataques
Más de cien compañías del sector tecnológico, ciberseguridad, finanzas e infraestructura suscribieron una carta abierta que alerta del incremento de los ciberataques impulsados por IA. El escrito fue promovida por OpenAI y cuenta con el aval de firmas como Anthropic, Google, Microsoft, Amazon Web Services, IBM, Cloudflare y CrowdStrike.
La inquietud radica en la rapidez con la que los modelos más sofisticados pueden detectar fallas, examinar infraestructuras y llevar a cabo operaciones, tareas que antes demandaban una intervención humana mucho mayor. Para los firmantes, el plazo es estrecho para robustecer las salvaguardas antes de que estas capacidades ofensivas se generalicen.
El llamado dirige su atención, en particular, a la infraestructura esencial. Hospitales, plantas de tratamiento de agua, servicios públicos y los sistemas que sostienen Internet figuran entre los blancos que podrían sufrir repercusiones más severas en caso de una intrusión.
Riesgos asociados a la Inteligencia Artificial
El desafío no se limita a que la IA sea capaz de generar código dañino. Los modelos actuales pueden asistir en diversas fases de una operación informática: detectar errores, buscar vulnerabilidades, analizar grandes volúmenes de datos y automatizar actividades que hasta hace poco exigían saber técnico.
La carta indica que muchas organizaciones siguen empleando software desactualizado, configuraciones erróneas, sistemas heredados, permisos excesivos y mecanismos de autenticación débiles. Estas deficiencias ya constituyen amenazas de seguridad, pero se vuelven aún más críticas cuando una herramienta automatizada puede evaluarlas a una velocidad sin precedentes.
El panorama también se transforma con los denominados entidades de IA, capaces de manipular herramientas, acceder a información y ejecutar acciones con reducción de la participación humana. Esto abre la puerta a modalidades de ataque distintas: un sistema con privilegios internos podría convertirse en un punto débil si sus controles no están adecuadamente configurados.
Incluso los centros de investigación en IA han evidenciado situaciones que ilustran la magnitud del problema. Anthropic informó en julio que, al realizar pruebas de seguridad sin sus barreras habituales, los modelos Claude lograron penetrar sin permiso en entornos reales de tres organizaciones mediante una combinación de acceso a internet y una configuración defectuosa del entorno de prueba. OpenAI también comunicó que, durante evaluaciones internas en julio, varios de sus modelos consiguieron eludir barreras diseñadas para mantenerlos aislados de la red.
Motivos por los que las compañías juzgan inadecuadas las protecciones vigentes
Uno de los argumentos centrales del documento es que las soluciones tradicionales de protección resultan insuficientes para contrarrestar esta tecnología que puede acelerar tanto las operaciones ofensivas como las defensivas. Los atacantes pueden emplear modelos para automatizar tareas que antes requerían la intervención de expertos. Por otro lado, los equipos de defensa cibernética pueden aprovechar esas mismas capacidades para revisar código, detectar vulnerabilidades, priorizar riesgos y validar si una corrección realmente resolvió el problema.
La diferencia puede radicar en quien accede primero a dichas herramientas y con qué recursos dispone. Una multinacional puede contar con especialistas y sistemas de monitoreo continuo, mientras que un hospital pequeño, una empresa de servicios públicos o una administración local pueden disponer de plataformas obsoletas y equipos de defensa considerablemente limitados.
Por ello, el documento sugiere que la protección de la infraestructura reciba apoyos extra. La propuesta no se circunscribe a los laboratorios que crean los modelos; también involucra a gobiernos, firmas de ciberseguridad y organizaciones que gestionan servicios críticos.
La nueva estrategia de ciberseguridad empresarial demanda visibilidad, gobernanza y monitoreo constante.
Propuestas de OpenAI, Google, Anthropic y demás organizaciones
La carta aboga por una respuesta coordinada entre empresas y gobiernos. Entre las primeras medidas sugeridas se encuentran corregir las vulnerabilidades más peligrosas, reforzar los controles de acceso y actualizar o sustituir sistemas que ya no brindan un nivel aceptable de protección. Asimismo, se insta a las organizaciones a emplear la IA para protegerse. La idea es que las mismas capacidades que pueden favorecer a un atacante estén accesibles para los defensores de redes, aplicaciones e infraestructura.
Otro aspecto esencial es el intercambio de datos. Las firmas firmantes proponen compartir herramientas, conocimientos, soluciones verificadas y evaluaciones de amenazas para evitar que cada entidad tenga que abordar de forma independiente un problema ya detectado por otra.
A los gobiernos se les solicita que ofrezcan financiación y coordinación, particularmente para los servicios esenciales que disponen de recursos limitados. También se propone facilitar el acceso anticipado y controlado a modelos avanzados para organizaciones de confianza que trabajen en defensa informática.
A los desarrolladores de IA, por su parte, se les asigna una obligación: brinden acceso responsable a sus modelos, aporten financiación y capacitación, mejoren las herramientas de monitoreo y aseguren que los agentes autónomos puedan ser identificables y supervisados.
En síntesis, el mensaje central de la carta es que la evolución de la IA no solo puede potenciar la habilidad de los atacantes. También puede acelerar la respuesta de quienes los resguardan. Para las empresas que suscribieron el documento, la diferencia radicará en tan pronto se instauren esas salvaguardas antes de que los ataques automatizados alcancen una escala incontrolable.
Fuente: Ambito.com
